(Onze

heures vingt-cinq minutes)

Président (M. Simard) :

Alors, chers amis, bienvenue à toutes et à tous. Je constate que nous avons

quorum.

Comme vous le savez,

la Commission des finances publiques est aujourd'hui réunie afin de procéder à l'étude

détaillée du projet de loi n° 95, Loi modifiant la

Loi sur la gouvernance

et la gestion des ressources informationnelles des organismes publics et des

entreprises du gouvernement et d'autres dispositions législatives.

Mme la secrétaire,

bonjour.

La Secrétaire :

Bonjour.

Le Président

(M. Simard) : Y a-t-il des remplacements ce matin?

La Secrétaire :

Non, M. le Président, aucun remplacement.

Le Président

(M. Simard) : Très bien. Alors, comme vous le savez, en vertu de

l'entente établie entre les leaders le

11 juin dernier, je vous rappelle que tous les votes que nous ferons aujourd'hui et dans les jours subséquents, au besoin, se feront par appel

nominal.

Et, comme le veut la

tradition, riche tradition, s'il en est une, vous savez que chaque étude

détaillée débute d'abord par des remarques préliminaires, et, sans plus tarder,

je cède la parole au ministre.

M. Caire :

Merci, M. le Président. Je serai bref, parce que je pense que les vraies

discussions doivent avoir lieu autour des articles. Je pense que j'ai eu

l'occasion, avec les collègues, de m'exprimer abondamment sur les objectifs du

projet de loi, sur ce que je pense qui sont les motivations d'adopter le projet

de loi et de l'adopter rapidement, M. le

Président. Il y a des enjeux de sécurité, notamment, qui ont été surlignés à

grands traits, je dirais, lors des consultations particulières, et pour

lesquels, de toute façon, nous avons quelques malheureux exemples.

Donc, M. le

Président, je me contenterai de vous saluer, de saluer Mme la secrétaire, les

membres de la commission, saluer mon collègue de la

partie ministérielle, les

collègues des oppositions, de leur dire que j'aborde l'étude du projet de loi

n° 95 avec, oui, une volonté très ferme quant aux finalités, quant à

l'objectif auquel je crois, quant à la nécessité de rencontrer ces objectifs-là

et ces finalités-là, mais, pour le reste, je suis, et je pense que les

collègues... on a eu l'occasion de travailler ensemble, là, à quelques

reprises, notamment sur le projet de loi n° 14, le projet de loi n° 37 et le

projet de loi n° 64, les collègues savent que je suis ouvert aux

suggestions. Je suis conscient que, si la destination, elle est ferme,

elle est fixe, le chemin pour y arriver, lui, peut être modifié. J'ai entendu,

comme eux, les préoccupations des groupes de la société civile, je reconnais

que certaines de ces préoccupations-là peuvent être légitimes et doivent

trouver une réponse ici. D'autres préoccupations ne sont pas justifiées par ce

que le projet de loi fait, vraiment, mais

nous aurons l'occasion d'expliquer à micro ouvert pourquoi je dis ça et

j'affirme ça, mais, pour le reste, je pense que le législateur a une

belle occasion de changer une culture qui existe présentement au gouvernement

du Québec et qui doit être changée, et ce, pour le plus grand bénéfice de nos

concitoyens. Merci, M. le Président.

Le Président

(M. Simard) : Merci à vous, M. le ministre. Je cède la parole au

porte-parole de l'opposition officielle, le député de La Pinière.

M. Barrette :

M. le Président, juste une question d'intendance. Dû à, peut-être, un

petit problème technique mineur, là, on n'a

pas reçu le cahier des députés, hein, et puis moi, vous savez, je suis déjà

transformé, numériquement parlant, alors moi, je vais en avoir besoin

après...

Le Président

(M. Simard) : Alors, nous allons, de manière presque simultanée,

le déposer sur Greffier.

M. Barrette :

C'est parfait. Ah bien, il va être dans les courriels, là, O.K. Bon. En tout

cas, peu importe.

Alors donc, pour les remarques préliminaires, M.

le Président, je pense les avoir faites. Je ne répéterai pas ce que j'ai dit

hier, à l'adoption du principe, là, ça serait redondant. Je ferai un ou deux

commentaires additionnels, cependant, M. le Président, je

les ai déjà faits hors d'ondes au ministre, là. Il y a quelques... et le

ministre vient de l'aborder, dans ce qu'il a appelé, à juste titre, la société

civile, il y a encore quelques points d'interrogation auxquels on devra

apporter des réponses. Essentiellement, ce sont des questions de portée du

champ d'application, c'est-à-dire de la loi. Mais je vais réitérer une affaire,

puisque que je vais revenir à plusieurs reprises là-dessus, que j'ai dite hier,

à l'adoption, et je l'ai dite aussi durant

les consultations particulières : C'est un très bon projet de loi, là, moi...

nous, on l'a dit, qu'on l'appuyait, là, sur le principe, certainement.

Je pense que la finalité, elle est la bonne et elle est due.

Est-ce que c'est un

projet de loi qui peut être appliqué dans sa totalité avant d'avoir mis en

place tous les éléments technologiques nécessaires? Ça, on en discutera dans

l'étude détaillée, mais il y a, pour moi, un enjeu là. En clair, c'est, si on

peut se permettre de faire un certain nombre de manoeuvres quant à la

circulation des données personnelles, encore faut-il que, jour un, elle se

fasse en sécurité maximale. Et est-ce qu'actuellement on a la sécurité maximale

dans les ministères et organismes? La réponse est non, sinon il n'y aurait pas

de projet de loi n° 95. Alors, comme il y en a un et que ça s'appliquera

pour faire plus que ce que l'on fait maintenant, ou faire mieux que ce que l'on

fait, ou faire de façon transparente ce qui ne l'était pas, bien, il y aura

lieu d'avoir cette discussion-là au moment opportun, dans l'étude détaillée du projet

de loi.

je me permettrai, M. le Président, encore une fois, de remercier le

ministre et Me Bacon et son équipe d'avoir accepté de tenir un

briefing technique lundi passé, qui a été très utile. Voilà, c'est tout,

M. le Président, pour moi.

Président (M. Simard) :

Merci à vous, cher collègue. Y aurait-il des motions préliminaires que l'un

d'entre vous souhaiterait déposer à ce stade-ci? Pas de motion

préliminaire? Sans quoi nous allons, donc, procéder à l'étude détaillée,

article par article.

Le Président (M. Simard) :

Oui? Je vous en prie.

M. Barrette :

Si vous pouviez suspendre juste un petit instant pour que je...

Le Président

(M. Simard) : Oui, très bien, il n'y a pas de problème.

Alors, on va

suspendre quelques moments.

(Suspension de la séance à

11 h 31)

Le Président

(M. Simard) : Alors, chers collègues, nous reprenons nos travaux.

Et nous en sommes rendus à l'étude du premier

article de ce projet de loi. M.

le ministre.

M. Caire :

Merci, M. le Président. Donc, l'article 1 se lit comme suit :

L'article 1 de

la

Loi sur la gouvernance et la gestion des ressources informationnelles des

organismes publics et des entreprises du gouvernement (chapitre G-1.03)

est remplacé par le suivant :

«1. La présente loi a

pour objet d'instaurer un cadre de gouvernance et de gestion en matière de

ressources informationnelles applicable aux

organismes publics et aux entreprises du gouvernement, lequel vise

particulièrement :

«1° à permettre

d'offrir aux citoyens et aux entreprises des services simplifiés, intégrés et

de qualité qui s'appuient sur les technologies de l'information, incluant les

technologies numériques, tout en assurant la pérennité du patrimoine numérique

gouvernemental;

«2° à optimiser la

gestion des ressources informationnelles et des services publics en favorisant

la mise en commun, notamment du savoir-faire, de l'information, des systèmes,

des infrastructures et des ressources;

à assurer la protection adéquate des ressources informationnelles des

organismes publics utilisées en soutien à la prestation des services

publics ou à l'accomplissement des missions de l'État;

«4° à instaurer une

gouvernance et une gestion optimales des données numériques gouvernementales

pour simplifier l'accès aux services publics par les citoyens et les

entreprises, mieux soutenir l'action gouvernementale, accroître la performance et la résilience de l'administration publique

et rehausser la qualité et la protection de ces données;

à coordonner les initiatives de transformation numérique des organismes publics

en vue d'offrir des services publics entièrement numériques;

à assurer une gestion rigoureuse et transparente des sommes consacrées aux

ressources informationnelles;

«7° à promouvoir

l'usage des meilleures pratiques en matière de gouvernance et de gestion des

ressources informationnelles et le

développement de l'expertise gouvernementale [relative] aux technologies de

l'information, incluant les technologies numériques;

à favoriser la mise en oeuvre [des] orientations et [des] stratégies communes à

l'ensemble des organismes publics.»

M. le Président, donc, petite explication.

L'article 1 du projet de loi propose de remplacer l'article 1 de la

Loi sur la gouvernance et la gestion des

ressources informationnelles des organismes publics et des entreprises du

gouvernement (chapitre G-1.03), également appelée la

loi sur les

ressources informationnelles. Les objectifs visés par les

dispositions de cette loi sont reformulés pour les affirmer plus clairement, en

intégrant les nouveaux objectifs qui sous-tendent les propositions faisant

l'objet du présent projet de loi.

Le Président

(M. Simard) : Alors, avant de céder la parole à mon collègue de La

Pinière, j'ose croire, puisqu'il l'eut évoqué avant le début de nos travaux,

que... vous souhaitiez vous prévaloir de l'article 245 de nos règlements

afin de pouvoir étudier ce projet de loi paragraphe par paragraphe, au besoin.

M. Barrette :

Vous croyez bien, M. le Président.

Le Président

(M. Simard) : Très bien. Alors, monsieur, la parole vous

appartient.

M. Barrette : Bon. M.

le Président, toujours

une question d'intendance, encore une fois, là, je ne pensais pas : Ça, c'est un

amendement?

M. Caire :

Bien, c'est une réécriture de l'article.

M. Barrette :

Oui, mais c'est un amendement pareil.

M. Caire :

Bien, pas au sens de nos travaux parlementaires, là, mais...

M. Barrette :

Bien, la réécriture de l'article, là... quand on remplace un article, c'est un

amendement, là. Non, mais c'est juste

pour notre intendance, parce que, dans les amendements en cours et à venir, il

n'y en a pas, là. On va-tu avoir bien de ça, là?

Caire : Non, mais c'est ça, c'est parce que... c'est pour ça

que je dis, dans le concept parlementaire, donc, les amendements auxquels on... tel qu'on les conçoit dans le concept

parlementaire, non, ce n'est pas un amendement, c'est un

article de la

loi qui vient réécrire l'article de loi précédent.

M. Barrette :

Non, je comprends, je comprends, mais...

Caire : Mais, tu sais, mettons, si vous me dites : Tel

mot, tel mot ne fait pas mon affaire, je voudrais le modifier, ça, c'est

un amendement. C'est pour ça qu'au greffe...

M. Barrette :

Bon. Je ne veux pas... M. le Président, je ne veux pas perdre de temps

là-dessus, là, mais, en général, là, quand on remplace un article, là,

ça...

Caire :

C'est parce qu'il a besoin d'être revampé.

M. Barrette :

Non, mais ça apparaît dans les amendements, mais, en tout cas, peu importe.

J'ai été surpris puis je suis allé voir dans

amendements, puis il n'y avait rien. Zigonnage, M. le Président, nous n'avons

pas à nous étendre là-dessus, on ne verra pas ça souvent, bon.

Bien, ça m'amène,

justement, là, j'avais prévu qu'on allait parler de ça, mais je ne pensais pas

qu'on allait parler de ce dont j'ai voulu parler tantôt, or donc, au premier

alinéa. Alors, allons-y. Alors : «La présente loi a pour objet d'instaurer

un cadre de gouvernance et de gestion en matière de ressources

informationnelles applicable aux organismes publics et aux entreprises du

gouvernement», bon, après ça, c'est : «lequel vise particulièrement».

Bien, «lequel vise particulièrement», on comprend, mais ça, c'est comme un

notamment, alors là... Puis là j'ai l'impression de revivre, je pense que

c'était 14...

Caire :

...37, je vous dirais, là, il y a une belle continuité.

M. Barrette :

On s'était pas mal pognés sur ministère et organismes. Disons que nous avions

eu une discussion...

M. Caire :

Nous avions eu des discussions viriles.

M. Barrette :

Animées, hein?

M. Caire :

Oui, animées.

M. Barrette :

Il y avait de l'âme dans la discussion.

M. Caire :

Oui, beaucoup.

M. Barrette :

Bien là, étant donné... compte tenu du commentaire que j'ai fait, qui, lui,

découle des commentaires qui ont été

faits par le bureau coordonnateur interuniversitaire et la Fédération des

cégeps, est-ce qu'il y a lieu maintenant de commencer à préciser la

grandeur du territoire?

M. Caire :

Bien, c'est-à-dire que, oui, les universités sont visées par la loi, mais, à la

lecture du bureau coordonnateur interuniversitaire, les conclusions auxquelles

ils en arrivent ne sont pas les bonnes, eu égard au projet de loi. Parce que le

projet de loi, dans le fond, ce qu'il vise, c'est à simplifier, pérenniser des

processus qui existent déjà actuellement. Donc, pour nous, l'objectif n'est pas

d'aller chercher les données des universités. En fait, puis je pense que

Me Bacon l'a spécifié dans les consultations... dans les... voyons...

M. Barrette :

Dans le briefing technique.

M. Caire :

Briefing technique, merci, M. le député, de venir à mon secours...

M. Barrette :

Ça me fait plaisir.

M. Caire :

...dans le briefing technique, la notion de possession ne change pas. 95 ne

vient pas dire : Les organismes ne sont plus propriétaires. Ce que le 95 vient

faire, c'est cette obligation de partager les données qui peuvent l'être, mais

dans le respect des lois, des régimes particuliers, des règlements qui sont

pris.

Donc, l'idée, là,

quand on dit : Vous allez venir chercher nos données... Bien non, on ne va

pas aller chercher les données des universités, ce n'est pas l'objet du projet

de loi. Et, dans la mesure où les données sont partageables, elles seront

partagées, mais les données qui ne sont pas partageables... Puis ça, c'est

important, puis je suis content, puis on aura probablement l'occasion d'en

reparler un peu plus loin, mais, quand on parle qu'on peut aussi... Tu sais,

toutes les données ne feront pas l'objet de ce principe — si

cher au coeur de mon collègue de Rosemont — de la valorisation des

données, à savoir que toutes les données ne seront pas indiquées comme étant

partageables, parce que ce n'est pas dans le sens de ce que la loi veut faire.

loi, ce qu'elle veut faire, et vous le savez, et je me permets de le répéter,

c'est de faciliter la communication des renseignements pour simplifier

la vie des citoyens, augmenter la qualité, l'efficience et la disponibilité des

services. C'est juste ça. On ne veut pas aller chercher des données dont on n'a

pas besoin puis on ne veut pas aller chercher la propriété de données de

personne, là. Ce n'est pas ça, là, ça n'a rien à voir. Alors, je conteste cette

assertion du BCI que l'objectif, c'est

d'aller chercher les données des universités. Ce n'est pas l'objectif du projet

de loi, ce n'est pas la finalité du projet de loi.

M. Barrette :

Moi, M. le Président, je comprends ce que le ministre veut faire, mais là

soyons puristes un instant, puis là c'est juridique, là.

M. Caire :

Oui, oui, je comprends.

M. Barrette :

Moi, tout ce que je veux faire, là, actuellement, là, c'est d'établir les

limites du carré de sable, là.

M. Caire :

...juridique, je comprends.

M. Barrette :

Légalement, là, et je ne porte pas de jugement, je veux juste qu'il soit

clairement établi la chose suivante, ou non, ou son contraire, là... La

perception des universités et des cégeps est que leurs données numériques sont

dans l'environnement législatif de 95. Je ne dis pas que le gouvernement va

aller chercher les données a, b, c, d, données

des recherches, les résultats scolaires, les tests psychométriques d'un professeur,

et ainsi de suite, mais ce qui est

numérique dans le réseau scolaire au sens de 95 — et universitaire — est inclus dans l'environnement

juridique que 95 crée.

M. Caire :

Oui, c'est vrai.

M. Barrette :

Ça ne veut pas dire que le ministre va faire dans le détail tout ce qu'il

ferait, mettons, au ministère des Finances, mais il pourrait.

M. Caire :

C'est-à-dire que je vais mettre des bémols. Alors, oui, les universités sont

soumises à la LGGRI, c'est exact, et donc soumises à ses modifications. Ceci

étant dit, nous avons spécifié que la LGGRI ne présente pas de régime

d'exception. Donc, le gouvernement sera tenu de respecter toutes les lois, tous

les régimes de protection particuliers, toutes les ententes qui sont relatives

à cette loi-là, là, qui découlent de cette loi-là. Et c'est pour ça que je dis : La situation actuelle qui prévaut dans

les universités perdure parce qu'elles sont déjà soumis à la LGGRI. Et là je

comprends qu'on ajoute une dimension avec le gestionnaire de la donnée

numérique gouvernementale. Je comprends cette

portion-là de leurs commentaires. Ceci étant dit, il y a d'autres principes

aussi qui s'appliquent aux universités que nous allons continuer à respecter,

et d'autres principes et d'autres lois, là, qui s'appliquent, que nous allons

respecter.

Donc, je l'ai

toujours dit, la LGGRI, le projet de loi n° 95 n'a pas pour objectif de se

substituer aux lois existantes en matière de protection des renseignements

personnels. Ce n'est pas l'objectif. La LGGRI veut travailler dans le cadre législatif qui prévaut actuellement,

veut simplement faciliter la transmission de données entre organismes publics dans une perspective de prestation de

services lorsque c'est requis. C'est tout. On ne veut pas faire plus que ça.

M. Barrette : O.K. Mais là je

prends au mot, j'accepte l'explication du ministre, le ministre... parce que le

ministre nous dit, là : Il y a un état de situation, actuellement, sur le

plan légal, sur ce qui est de l'accès et la gestion des données dans le réseau universitaire, mettons,

versus vis-à-vis le gouvernement. Le ministre nous dit, M. le Président,

qu'il ne veut pas faire plus ou différemment

de ce qu'il fait maintenant. Il ne le veut pas, mais la loi lui

permettrait-elle de le faire s'il le voulait?

Caire :

Bien, la loi ne me...

M. Barrette :

Alors là, là, c'est une différence. Entre je ne le fais pas, mais je pourrais

le faire... Le BCI puis les cégeps, eux autres, essentiellement, ce qui

les inquiète, c'est : Il pourrait le faire.

Caire :

Je vais laisser Me Bacon se joindre à nous.

Le Président

(M. Simard) : Y aurait-il consentement afin que Me Bacon puisse

intervenir?

M. Caire :

Parce que, dans le fond, vous voulez une opinion juridique. Je vais vous

laisser...

M. Barrette :

Bien, c'est-à-dire, moi, là, dans les commentaires du BCI, là, il y en a un en

particulier qui me titille, parce qu'il est fondé, celui-là, là. Quand

le BCI nous dit, là, que, là, si parce que ce sont des données sur support

informatique qui sont accessibles et/ou traitables par l'État, parce que ça

rentre dans 95... puis là, je vais les citer, le BCI, là : «Il ne

faudrait pas que les données créées et recueillies par les chercheurs

universitaires à

titre d'étudiants et étudiantes ou professeurs — c'est-tu

fatigant, là, de mettre 14 mots pour s'assurer que tous les genres soient

écrits dans le texte — deviennent

des données numériques gouvernementales au sens de la loi, du seul fait

qu'elles sont hébergées. Si c'était le cas, les chercheurs pourraient

décider, afin de conserver le contrôle de leurs données, de les héberger à

l'extérieur des établissements universitaires.» Et ils vont aussi loin que

d'évoquer la possibilité...»

M. Caire :

Je l'ai...

M. Barrette :

Je vais juste finir ma phrase.

M. Barrette : «...que d'évoquer la possibilité que ça soit un

élément rébarbatif pour le recrutement de chercheurs à l'extérieur.»

M. Caire :

Je l'entends, et la réponse à cette affirmation-là, c'est non, le projet de loi

n° 95 ne nous donnera pas

l'autorisation de faire quelque chose que nous ne pouvons pas faire maintenant.

Si vous le souhaitez, M. le député, je peux laisser Me Bacon vous expliquer les tenants et les

aboutissants juridiques, mais la réponse à cette affirmation-là, c'est

non, nous ne pouvons pas.

M. Barrette : Bien, si c'est non, là, ça veut dire que

l'inquiétude du milieu académique, qui est : ils ne le font pas

maintenant, ils nous disent qu'ils ne le font pas, mais, malgré tout,

avec 95, ils pourraient le faire...

M. Caire :

C'est non.

M. Barrette :

Ça, ça veut dire que c'est non, la réponse à ça.

M. Caire :

C'est non.

M. Barrette :

Mais est-ce que c'est un non avec un n majuscule, un o majuscule puis

un n majuscule, là, comme, inviolable?

Le Président

(M. Simard) : Alors, il y a consentement pour l'intervention de

Me Bacon?

Des voix :

Consentement.

Président (M. Simard) :

Consentement. Me Bacon, bien que vous soyez une habituée de nos travaux,

pour les fins de notre procès-verbal, auriez-vous l'amabilité de vous

présenter?

Mme Bacon

(Nathalie) : Oui. Bonjour, M. le Président. Nathalie Bacon,

légiste au Secrétariat du Conseil du trésor.

Le Président

(M. Simard) : Soyez la bienvenue parmi nous, madame.

Mme Bacon

(Nathalie) : Merci. Je vous

dirais, sur le commentaire qui est fait que le périmètre de 95 pourrait

viser toute donnée, exemple, un

courriel — ils

énumèrent une série de documentations, là, dans la lettre où la question

est posée — l'article 12.10

définit c'est quoi, une donnée numérique gouvernementale, et il définit

largement.

Pour des raisons très techniques, alors, sur le

plan clérical, si on prend uniquement la cible de la définition, littéralement,

ça nous semble large. Par contre, on ne peut pas interpréter une loi uniquement

à son libellé, un unique libellé. Il faut

aussi interpréter la loi avec les articles, l'ensemble de ses articles, et

notamment l'article 1, qui, ici... on n'a pas toujours un

article qui

énonce les objectifs dans une loi, ici, nous avons le privilège d'avoir

l'article 1, qui reformule tous les objectifs qui étaient

anciennement à l'article 1 de la

loi sur la gouvernance, la LGGRI, le

chapitre G-1.03. Alors, c'est...

Mme Bacon (Nathalie) : Donc,

les objectifs sont tous reformulés en fonction des propositions législatives

qui sont faites au p.l. n° 95, et les libellés

des dispositions qui suivent dans le p.l. n° 95

auront le mérite de pouvoir être interprétés à la lumière des objectifs.

Donc, on vise large, à 12.10, en donnant une

définition. On le restreint en prévoyant à 12.10 un pouvoir réglementaire du gouvernement d'exclure des données. Il y a, sous-jacent à ça

aussi, à 12.10, l'obligation de respecter toutes les lois qui régissent

les renseignements concernés, que l'on pense à la protection du droit à la vie

privée ou la

loi sur les renseignements... la

loi sur l'accès des renseignements

personnels, qui s'applique.

Et, en plus,

nous avons les objectifs énoncés à l'article 1, aux paragraphes 1° à 8°, qui nous permettent de circonscrire

la patinoire exacte et l'intention du législateur avec le p.l. n° 95.

M. Barrette :

O.K. Je me rappelle que j'étais arrivé ici, d'ailleurs, avec un livre de

doctrines, là, pour discuter de l'importance de l'article 1...

M. Caire :

...échange épique.

M. Barrette :

Maintenant, donc, c'est ça, la réponse. La réponse, c'est que 1 vient tempérer,

qualifier... tempérer, limiter, circonscrire la suite.

Mme Bacon (Nathalie) : Oui. 1

et les autres articles qui suivront, du p.l. n° 95,

que nous aurons l'occasion, là, d'étudier

article par article. Je pense à tous

les devoirs, là, qui sont conférés au chef gouvernemental de la sécurité de

l'information ou au gestionnaire des données numériques gouvernementales, de

l'obligation de faire un inventaire des données, d'identifier leur qualité,

après ça, d'appliquer un modèle de classification qui... vous savez, le modèle de classification en sécurité va déterminer, là,

sur un curseur, là, la donnée qui a un caractère... mettons, sur le curseur

le plus à gauche, une donnée qui a un caractère public, aller sur le curseur à

l'extrême droite, une donnée qui est hautement

confidentielle ou qui doit hautement être protégée et à laquelle on doit

appliquer des mesures de sécurité forte, de haute qualité. Alors, ce

modèle-là de classification va être appliqué, devra être... et va être

surveillé également par le gestionnaire de la donnée.

Donc, au bout du compte, il y a un exercice, je

dirais, de tri, qui va être fait. Puis il ne faut pas oublier que les données

qui seront... qui feront l'objet de mobilité ou de valorisation en termes du

p.l. n° 95, ce n'est pas... je vais utiliser cette image-là, ce n'est

pas un plat de bonbons ouvert à tous, puisqu'il faut avoir un décret du

gouvernement qui va être pris en vertu de l'article 12.13, et ce décret

devra définir, préciser les... vous avez des fins administratives de services

publics à l'article 12.10, le décret devra préciser la fin. Quand on dit

préciser la fin, c'est détailler la fin, décrire la fin de façon détaillée,

donc préciser cette fin-là, et devra aussi préciser les données

gouvernementales concernées. Donc, les données ciblées seront décrites dans le

décret pris en vertu de l'article 12.13.

Le Président (M. Simard) : Très

bien. M. le député.

Le Président (M. Simard) :

D'autres questions?

M. Barrette :

Oui, un dernier commentaire. Je comprends très bien ce que Me Bacon nous dit,

M. le Président, mais je reste toujours avec... je comprends, là, mais

il y a comme toujours une petite embrasure, là, dans la porte, parce que

l'article 1, c'est «spécialement»... attendez une minute, là, pas

«spécialement» ou «spécifiquement»... «vise

particulièrement». Ce n'est pas exhaustif, là, ce sont les points d'intérêt

majeur. Je comprends que ces points-là ont une valeur d'orientation pour

quiconque interprétera la loi, mais corrigez-moi si je me trompe,

«particulièrement», ça veut dire que d'autres choses ne sont pas sans intérêt,

Mme Bacon (Nathalie) : Vous

avez raison, M. le Président, vous avez raison, dans le sens que l'énonciation

des objectifs, c'est une direction, et la direction qui est donnée, c'est des

objets qui sont... des objets poursuivis, des objectifs poursuivis aux

paragraphes 1° à 8° de l'article 1. Évidemment, il va y avoir des objectifs

connexes ou accessoires.

M. Barrette :

O.K. Un dernier commentaire, barre oblique, question — je

fais attention à mon français — le milieu académique reproche au

gouvernement, puis ça, c'est un reproche : Vous allez nous obliger à avoir

des dépenses en matière de sécurité énormes, compte tenu de ce que vous voulez

faire, gouvernementalement parlant. Je pose la question : Avez-vous une

réponse à ça?

M. Caire : Oui.

Ah oui!

M. Barrette : Deux, peut-être?

M. Caire : Oui,

oui. En fait, c'est vrai qu'il va y avoir des exigences en matière de sécurité.

C'est vrai. Maintenant, je retourne la question. Pendant très longtemps,

pendant très longtemps — puis

là, je ne vise pas les universités, là, mon commentaire se veut très large,

soyons très clairs, là — pendant

très longtemps, la cybersécurité a été un aspect qui a été négligé par

plusieurs organismes publics. Puis je ne dis pas que c'est le cas des

universités, mais ce qu'on dit aujourd'hui,

c'est qu'il va devoir y avoir des mesures prises pour protéger les

renseignements personnels des

Québécois, notamment des étudiants.

Et il y a des universités qui sont déjà extrêmement performantes, en matière

de cybersécurité, pour lesquelles je ne vois pas pourquoi il y aurait des dépenses

supplémentaires, parce que les exigences... Il n'y a pas d'exigence technique

spécifiée par 95, là. Il va y avoir des normes qui vont répondre à ce qui se

fait à l'international, qui vont répondre aux meilleures pratiques. Il va y

avoir une catégorisation de la donnée.

Puis, si ça se trouve, il y a peut-être des

données, actuellement, qui font l'objet d'une protection qui n'est pas

justifiée par leur sensibilité. Donc, de ce côté-là, il y a peut-être aussi des

éléments d'économie, mais parallèlement à ça, puis là c'est très théorique, ma

réponse, là, je n'ai pas catégorisé les données des universités, je ne sais pas

quel est leur actif, je ne sais pas quel est leur inventaire, mais il y a une

volonté de s'assurer que les données qui sont sensibles,

les renseignements personnels qui sont sensibles soient protégés adéquatement.

Et, dans ce sens-là, je m'étonne un peu qu'on s'inquiète de la dépense,

on devrait peut-être plutôt s'inquiéter de se les faire voler, parce qu'il y a

un coût à se les faire voler.

M. Barrette : M. le Président,

je vais tout de suite annoncer mes couleurs, puis ce n'est pas parce que j'ai

préparé quoi que ce soit, là, le ministre va comprendre pourquoi je dis ça, là.

Là, là, je suis convaincu que les gens du milieu académique nous écoutent, j'en

suis convaincu, et je suis convaincu qu'ils sont déjà sur leur téléphone, là,

pour nous appeler. Le contraire me surprendrait.

Je n'ai pas d'autre commentaire, à cause de ça,

à faire maintenant sur l'article 1. Je n'en ai pas d'autre, mais, s'il y

avait le consentement, j'aimerais pouvoir le suspendre puis qu'on passe aux

autres, après que les collègues des autres oppositions aient fait leurs

commentaires, évidemment, pour qu'on puisse y revenir, si nécessaire, après les

commentaires inévitables qu'on va nous faire dans les prochaines heures et

jours. Juste...

M. Caire : Pas de

problème.

M. Barrette : Voilà. Sinon, je

n'ai pas d'autre commentaire à faire.

Le Président (M. Simard) : Très

bien. M. le député de Rosemont.

M. Marissal : Merci, M. le

Président. Bonjour, chers collègues. Rebonjour. Désolé du retard. Je pense que

c'est une bonne idée de suspendre, comme le suggère le député de La Pinière.

Des fois, prendre un petit pas de recul pour mieux sauter ou s'assurer qu'on a

les deux pieds bien calés dans les blocs de départ, on va partir plus vite puis

on va se rendre plus vite à destination.

Effectivement, le texte a été réécrit. Donc, on va faire la suite, là, avec,

justement, le milieu académique, là, je présume.

Puis moi, je ne comprends pas trop pourquoi il y

a un angle précisément sur les universités, notamment, dont le ministre a

parlé. Le problème me semble assez répandu dans toutes les administrations

publiques. Je comprends qu'il y a la question

de la recherche puis de la collecte de données, puis c'est pourquoi il peut y

avoir une particularité ici, mais le ministre semblait dire que c'était pire

dans les milieux universitaires ou que le milieu universitaire a été un

mauvais élève, sans vilain jeu de mots, depuis quelques années.

M. Caire : Non,

non, non.

M. Marissal : Le ministre me

fait signe que non, alors c'est noté. Tant mieux. Avant qu'on entreprenne

l'étude, moi, je voulais juste dire que les choses ont déboulé rapidement, pour

ce projet de loi là, dans les dernières heures, là, dans les derniers jours.

Pour le bénéfice des gens qui nous écoutent, il y a eu deux briefings

techniques. Pour les gens qui ne sauraient pas de quoi il s'agit, c'est des

séances de travail privées où on peut discuter avec les fonctionnaires, avec

les légistes. C'est apprécié, c'est appréciable, c'est souhaitable. Le ministre

nous en a accordé deux, c'est très bien,

on a pu avancer beaucoup. Et ce n'est parce qu'on a des choses à cacher, là,

tout ce qu'il va se dire ici est

filmé, enregistré et passera à la postérité, mais, parfois, on a des petits

trucs à approfondir puis, des fois, ça vaut la peine de se parler en

privé pendant trois minutes pour régler trois heures de différends en public.

Ça a été bien fait.

Cela dit, moi, je persiste à croire qu'on a eu

peu de témoins en consultations particulières pour un si gros projet de loi.

Puis il n'est pas gros par son nombre d'articles, ça ne se calcule pas comme

ça, là, ça ne se vend pas au kilo, là, des projets de loi, il va dans le droit nouveau, c'est le ministre

lui-même qui l'a dit, Mme Bacon aussi l'a dit... Me Bacon l'a dit.

On défriche, on s'en va dans quelque chose de nouveau, c'est une petite

révolution, que semble vouloir imposer le ministre,

aussi, dans la machine gouvernementale, elle est probablement nécessaire,

c'est vrai, mais, parfois, si on fait

des révolutions, il faut quand même préparer un peu le terrain, puis moi, j'en aurais

pris plus, honnêtement, de

témoins, de gens.

Et puis je ne ferai

pas le coup de la... je cherche le terme technique, là, de la motion

préliminaire, parce qu'on s'est en quelque sorte entendus pour procéder

rondement, mais je voudrais juste noter, pour que ce soit bien compris, qu'au premier témoin qu'on a entendu, c'est-à-dire M. Steve Waterhouse, qui est une sommité en la matière, moi, j'ai

noté qu'il y avait très peu de collecteurs de données dans nos témoins, en

fait, il n'y en avait pas. Par collecteur de données,

là, j'entends, par exemple, RAMQ, Revenu

Québec, puis il y en a d'autres, et

j'en passe, et des meilleurs, encore, là,

mais RAMQ, Revenu Québec, puis on pourrait mettre Retraite Québec, c'est quand même des gros, gros collecteurs de données,

puis moi, j'aurais souhaité quand même pouvoir les entendre sur les changements

qui viennent.

Puis

M. Waterhouse, qui ne répond pas pour le ministre, qui répondait pour lui,

puis je respecte totalement sa réponse, là,

m'a dit : Bien, ça ne changerait pas grand-chose, parce que ce sont des

exécutants. Sur le coup, sa réponse, elle est probablement valable, mais

elle ne me rassure pas, puis, honnêtement, après les briefings techniques puis

au moment où on aborde l'étude de ce projet de loi, je suis encore moins rassuré, parce

que les exécutants, c'est les gens

qu'on vise par ce projet de loi aussi, là, et c'est là que ça passe ou

ça casse.

Donc, je vais me

retenir de déposer une motion préliminaire demandant d'entendre Retraite Québec,

Revenu Québec, la RAMQ, parce que j'ai convenu, nous avons convenu, je pense, par consentement, d'y aller rondement. Puis j'ai voté pour le principe de ce projet

de loi, mais je voulais quand même que ce soit noté que, tu sais, il ne

faudrait pas que des départements ou des ministères qui ont déjà une certaine

réticence aient l'impression qu'on le prend pour des oies de gavage puis qu'on va leur rentrer quelque chose dans la gorge de force. Ça ne marchera pas, ça ne marchera pas.

Puis ça, c'est une recette pour que ça ne marche pas.

Et je termine sur un

dernier commentaire, qui est un peu périphérique, mais néanmoins je n'ai pas pu

m'empêcher de faire un parallèle, cette semaine, en lisant les nouvelles. Je

voyais que le ministre du Travail avait une nouvelle... un nouveau programme

pour faire de la formation rapide et adaptée à des gens qui voudraient aller vers les technologies de l'information. Et je crois que le gouvernement a mis quelque chose comme 40 millions là-dedans. Je n'ai pas étudié le programme dans ses

moindres virgules, mais ça me semble valable.

J'espère qu'on a

prévu une

partie de rétention vers la fonction publique, parce que, si, en

plus, on finance des programmes publics pour de la formation en accéléré et

adaptée à la main-d'oeuvre qui s'en ira vers des technologies de l'information,

puis qu'ils s'en vont travailler en plus, très, très, très massivement, pour ne

pas dire tout le monde, dans le privé, il me semble qu'on se tire dans le pied.

Mais ce n'est pas l'objet du projet de loi ici, mais je sais que le ministre

sera certainement sensible à ce genre de commentaire. Parce que, ce projet de

loi là, on peut l'adopter, là, puis on peut

l'améliorer, mais, s'il n'y a pas la main-d'oeuvre, donc le carburant pour faire rouler ce véhicule,

ça sera peine perdue. Merci.

Président (M. Simard) :

Merci à vous, cher collègue. Y aurait-il d'autres commentaires avant la suspension de l'article 1? Je crois comprendre qu'il y a,

donc, consentement afin de suspendre l'étude de l'article 1,

étude à laquelle nous reviendrons au

moment opportun. Ceci étant dit, M. le

ministre, nous pouvons donc prendre

en considération l'article 2.

M. Caire :

Merci, M. le Président. Donc, l'article 2 se lit comme suit :

L'article 2

de cette loi est modifié par l'insertion, à

la fin de ce qui précède le paragraphe 1°

du premier alinéa, de «, lesquels organismes forment l'Administration

publique aux fins de la présente loi».

Donc,

l'article 2 du projet de loi propose une modification à l'article 2

de la

loi sur les ressources informationnelles

afin de définir ce qui est entendu par administration publique au sens de cette

loi dans le contexte du présent projet de loi. Cette modification permet

de rallier les organismes publics pour une action concertée et intégrée

en matière de ressources informationnelles.

Le Président

(M. Simard) : Merci. M. le député de La Pinière.

M. Barrette :

Pas de commentaire.

Le Président

(M. Simard) : Pas de commentaire. M. le député Rosemont.

M. Marissal :

Non, c'est bon pour moi. Merci.

Président (M. Simard) :

Pas de commentaire. Sans quoi, nous allons procéder à la mise aux voix. Mme la

secrétaire.

La Secrétaire :

Oui. Pour, contre, abstention. M. Caire (La Peltrie)?

Secrétaire : Pour les

membres du groupe parlementaire formant le gouvernement, M. Chassin (Saint-Jérôme)?

La Secrétaire : Pour les

membres de l'opposition officielle, M. Barrette (La Pinière)?

La Secrétaire : Et M. Marissal

(Rosemont)?

La Secrétaire : Et M. Simard

(Montmorency)?

Le Président (M. Simard) :

Abstention.

L'article 2 est donc adopté. M. le ministre, pour

l'article 3.

M. Caire : Merci,

M. le Président. Donc, l'article 3 se lit comme suit :

L'article 7 de cette loi est modifié :

1° dans le paragraphe 0.1° :

a) par l'insertion, après «soumettre au», de

«président du [Conseil du trésor]»;

b) par l'insertion, à la fin, de «, incluant en

ce qui concerne la transformation numérique de l'Administration publique, et de

proposer les moyens pour la mettre en oeuvre»;

2° par l'insertion, après le paragraphe 1°, du

suivant :

«1.1° de

formuler et de transmettre aux organismes publics des indications d'application

en matière de ressources informationnelles auxquelles ces derniers

doivent se conformer;»;

3° par l'insertion, dans le paragraphe 2° et

après «conseiller le», de «président du Conseil du trésor et le»;

4° par la suppression du paragraphe 6°;

5° par l'insertion, dans le paragraphe 7° et

après «d'informer le», de «président du»;

6° par l'insertion, après le paragraphe 7°, du

suivant :

«7.1° de

développer une expertise en matière de ressources informationnelles, plus

particulièrement en sécurité de l'information, en transformation numérique et

en technologies de l'information, incluant les technologies numériques,

de manière à offrir aux organismes publics

des services, des conseils ou du soutien et à renforcer le savoir-faire de

l'État en telles matières;»;

7° par le

remplacement, dans le paragraphe 8°, de «et des» par «ou la mise en commun ou

le partage de celles-ci, ainsi que des»;

8° par l'ajout, à la fin, de l'alinéa

suivant :

«Pour l'application de la présente loi, on

entend par "indication d'application" toute instruction donnée par

écrit portant sur l'exécution d'activités, l'acquittement de responsabilités ou

l'application de mesures en matière de ressources informationnelles.»

Donc, M. le Président, l'article 3 propose

une modification à l'article 7 de la

loi sur les ressources

informationnelles afin de départager les rôles du président du Conseil du

trésor et du Conseil du trésor en matière de ressources informationnelles en ce

qui concerne la vision gouvernementale en telle manière... en telle matière,

pardon, incluant la transformation numérique de l'administration publique et

les moyens pour la mettre en oeuvre, les conseils en telle matière que formule

le dirigeant principal de l'information, l'information transmise par le

dirigeant principal de l'information quant aux résultats observés et des

bénéfices obtenus eu égard aux pratiques exemplaires et les solutions ou

approches novatrices diffusées auprès des organismes publics.

L'article 7

de cette loi est également modifié afin de conférer au dirigeant principal de

l'information le pouvoir de formuler des indications d'application, en

matière de ressources informationnelles, auxquelles les organismes publics

devront se conformer. Une diffusion... pardon, une définition d'instruction

d'application est introduite au dernier

alinéa de cet article.

Le paragraphe 6° de cet

article 7 est supprimé. Le

pouvoir de définir des règles inhérentes à la sécurité de l'information

est déjà inclus dans le pouvoir du Conseil du trésor de prendre une directive,

l'article 20 de la

loi sur les ressources informationnelles.

Le paragraphe 2° de l'article 12.6,

introduit par l'article 7 du projet de loi, prévoit pour ce type de règle

et par cohérence les recommandations du chef gouvernemental de la sécurité de

l'information.

L'article 3 propose l'ajout de l'obligation, pour le

dirigeant principal de l'information, de développer une expertise en matière de

ressources informationnelles, incluant la

transformation numérique et les technologies numériques, afin de renforcer le

savoir-faire de l'État. Enfin,

l'article 3 propose une reformulation pour apporter une précision de texte

au paragraphe 8° de l'article 7 de la

loi sur les ressources

informationnelles.

Le Président (M. Simard) :

Merci. Des remarques? M. le député de La Pinière.

M. Barrette : Hé! c'est bien, ça, M.

le Président, parce que... C'est, essentiellement, pas mal plus juste des

remarques que je vais faire, parce qu'une remarque n'a pas nécessairement de

conséquence, n'est-ce pas? Alors, je dois

dire que le 7.1, c'est un des plus beaux articles que j'ai vus, à date, dans un

corpus législatif. Je ne sais pas c'est qui qui l'a écrit, là, mais je

félicite... C'est vous, ça? Félicitations.

Je vais le lire, c'est tellement beau, là, que

je n'en peux plus : «De développer une expertise...» Loi amène... force à

«développer une expertise en matière de ressources informationnelles, plus

particulièrement en sécurité de l'information, en transformation numérique et en technologies de

l'information, incluant les technologies numériques, de manière à offrir

aux organismes publics des services, des conseils [et] du soutien et à

renforcer le savoir-faire de l'État en telles matières». C'est magnifique. Il

manque juste un bout : et d'enjoindre le gouvernement à fournir le budget

pour faire ça. On peut-tu mettre ça?

M. Caire : Non,

on ne peut pas...

M. Barrette : C'est non, hein?

M. Caire : Non,

on ne peut pas, sinon ce serait déjà fait.

M. Barrette : C'est bien

dommage, parce que c'est vraiment... Pour le sujet, là, c'est un magnifique

article, ça enjoint les personnes responsables à faire la bonne affaire. Maintenant,

oui, on pourrait faire un amendement, dire «maintenant», et le mettre en application maintenant. Ça non plus, j'imagine qu'on ne peut pas faire

ça, hein? C'est ça.

Voilà, M. le Président, c'est pour ça que je

trouve que «remarque» était un bon choix de mot de votre part. J'ai remarqué qu'il

s'agissait là d'un magnifique article, que j'appuie totalement.

M. Caire : Sans

réserve.

M. Barrette : Malheureusement,

bien non, pas sans réserve. Avec la réserve que... pas de dollar, pas d'effet.

Le Président (M. Simard) :

Alors, c'est non seulement légistique, mais c'est aussi poétique.

M. Barrette : Ah! c'est beau.

Non, mais c'est beau, c'est un bel article. Pour le sujet, là, c'est...

Le Président (M. Simard) : M.

le député de Rosemont.

M. Marissal : Quand... Oui,

merci, M. le Président. D'ailleurs, aparté, là, ça ne s'invente pas, à 11 h 51,

j'ai reçu, et je présume que pas mal tout le monde l'a reçu, un courriel

d'hameçonnage grossier, et je vous enjoins, tout le monde, si l'avez reçu, de

ne pas cliquer là-dessus, parce que... Puis je parle d'hameçonnage, ça

ressemble plus à une ancre à bateau

tellement que c'est gros, là, mais on parle de ça puis, pendant ce temps-là, on

reçoit des espèces d'attaques. Bon, celle-là m'a l'air un peu grossière,

mais néanmoins ne cliquez pas là-dessus.

M. Marissal : Oui, puis, même à ça, tu sais, comment dire avec

certitude que c'est ça? Enfin, bref, je trouvais particulier que ça

arrive à ce moment-ci.

Quand vous dites : Départager les rôles du président

du Conseil du trésor et du Conseil du trésor... pardon, du président du Conseil

du trésor et du Conseil du trésor en matière de ressources informationnelles,

qu'est-ce que vous voulez dire? Et est-ce que ça crée un nouveau lien

hiérarchique?

M. Caire : Non.

En fait, c'est qu'on veut s'assurer que le Conseil du trésor va être saisi de

tout ce qui est orientations, directives, mais que le président du Conseil du

trésor, lui, va avoir l'autorité pour tout ce qui pose des actions au

quotidien. Ce qui est dans l'opérationnalisation, on veut être sûrs que c'est

le président du Conseil du trésor qui est le ministre responsable. Tout ce qui

est orientations, rapports, reddition de comptes, c'est le Conseil du trésor

qui s'en occupe.

M. Marissal : Et ça

sous-entend, je présume, et le ministre délégué au premier chef?

M. Caire : Tant

et aussi longtemps que le premier ministre jugera bon qu'il y ait un ministre

délégué, mais, au sens de la loi, c'est pour

ça que le ministre délégué, lui, répond au mandat du premier ministre, mais le

président du Conseil du trésor répond à ce que la loi lui donne comme

prérogative.

M. Marissal :

Je comprends. Ensuite, je descends un peu, là, vers la toute fin, c'est une

question de sémantique, mais c'est

parfois important, l'article 3 propose... c'est l'avant-dernier

paragraphe, l'article 3 propose l'ajout de l'obligation, pour le dirigeant

principal de l'information, de développer une expertise en matière de

ressources informationnelles, incluant la transformation numérique des

technologies numériques afin de renforcer le savoir-faire de l'État.

Dépendamment comment on le lit, on a l'impression qu'on demande au dirigeant

principal de l'information de se développer une expertise en matière de

ressources, ce qui, je présume, devrait être le cas à l'embauche. On parle,

ici, évidemment, de développer ça à l'intérieur du gouvernement, là?

M. Caire :

Clairement.

M. Marissal : C'est un

article

parapluie, là.

M. Caire :

Clairement, c'est une obligation qui est faite. Puis je vous dirais, M. le

député, puis... Disons que j'ai bâti une

partie de ma carrière politique sur

des observations constructives que j'ai faites à l'égard des ressources

informationnelles auprès du gouvernement. Et je pense que nous avons remarqué,

au fil des ans, que l'expertise en technologies numériques au niveau de l'État

pouvait être améliorée, pouvait... Non, mais je dois vous dire que je suis des

cours privés avec le DPI sur la façon de communiquer les choses, et je pense

que je fais des progrès, M. le DPI?

Une voix :

Oui, sous réserve de certaines rechutes.

M. Marissal :

Bien, au moins, il est encore là, c'est déjà ça.

Caire :

Bien, puis je veux dire... Oui, mais... En tout cas, on l'a menotté, là, je...

tu sais. Non, mais, ceci étant dit, oui, on

veut se donner une obligation législative de construire et de garder cette

expertise-là à l'interne. Bon, alors, l'idée, aussi, c'est de

dire : Bien, on ne veut pas que cette obligation-là soit en silo. Donc,

c'est pour ça qu'on veut la rendre dans le

contexte du DPI, parce que le DPI, dans

le fond, se trouve à être le consultant informatique de l'État, et ça, c'est un

discours, M. le député, que je tiens depuis des années. Le gouvernement du

Québec, par le volume de ses besoins en technologie, justifie d'avoir sa

propre boîte de consultants à l'interne, cette expertise-là à l'interne. Nous

avons besoin de ça. Donc, cet article-là vient concrétiser cette vision-là, que

je proposais il y a déjà longtemps, et donc

M. le DPI aura cette obligation légale de construire, de maintenir et de rendre

disponible aux organismes publics cette expertise.

M. Marissal :

Très bien, et cela viendra donc, je présume, subséquemment dans le projet de

loi, avec des articles touchant le suivi en continu et l'évaluation?

M. Caire :

Oui. Oui, vous allez le voir plus loin, il y a des articles, effectivement,

vous avez raison...

M. Marissal :

Très bien. Merci.

Caire : ...d'audit,

puis je vous dirais même de pouvoirs d'intervention de la présidente du Conseil du trésor. Tout à

l'heure, vous me posiez une question

sur président du Conseil du trésor

versus Conseil du trésor, mais la présidente du Conseil du trésor, puisque c'est une présidente maintenant, aura des

pouvoirs supplémentaires pour s'assurer du bon suivi des projets, que, cette

expertise-là, non seulement elle est disponible, mais elle est mise à

contribution, elle est utilisée par

les ministères et organismes. Alors, on va commencer par regarder, chez le DPI,

qu'est-ce qu'on a comme ressources qui peuvent nous aider avant de regarder

ailleurs. Et c'est pour ça qu'on

dit : Bien, parallèlement à ça, nous, il faut être cohérent, il

faut se donner cette obligation-là de mettre en place cette expertise-là.

M. Marissal :

Avec, et je termine là-dessus, un mécanisme de reddition de comptes

publique?

M. Caire :

Oui, tout à fait. Oui, oui, oui, puis avec dépôt de rapports, etc.

M. Marissal :

Très bien. Merci.

Le Président

(M. Simard) : D'autres remarques? M. le député de La Pinière?

M. Barrette : Non, autrement que de dire que, moi,

l'utilisation que j'ai toujours utilisée est la suivante : le volume

de données qu'il y a au gouvernement est tel que l'État devrait être une PME de

technologie de l'information. Là, c'est un peu ça que ça va devenir, là, via le

dirigeant principal de l'information. En tout cas, comme ça a été dit il y a

quelques instants, ça, ça veut dire qu'il va y avoir des plans et un suivi. Parce

que faire tout ce qu'il est écrit à 7.1, là, qui

est un magnifique article, ça exige un plan et un suivi, c'est-à-dire que, dans

un an, si rien n'est fait, ça va se voir, là...

M. Barrette :

...et ainsi de suite, là, plutôt.

Le Président

(M. Simard) : Alors, sans quoi, nous allons procéder à la mise

aux voix concernant l'article 3. Mme la secrétaire.

La Secrétaire :

Pour, contre, abstention. M. Caire (La Peltrie)?

Secrétaire : Pour les

membres du groupe parlementaire formant le gouvernement, M. Chassin (Saint-Jérôme)?

La Secrétaire : Pour les

membres de l'opposition officielle, M. Barrette (La Pinière)?

La Secrétaire : M. Marissal

(Rosemont)?

La Secrétaire : Et M. Simard

(Montmorency)?

Président (M. Simard) :

Abstention.

L'article 3 est donc adopté. Nous en sommes à

l'article 4. M. le ministre.

M. Caire : Qui se lit comme suit, M. le Président :

Cette loi est modifiée par l'insertion, après l'article 7, du

suivant :

«7.1. Le dirigeant principal de

l'information agit, pour l'Administration publique, à

titre de :

«1° chef gouvernemental de la sécurité de

l'information, en assumant des responsabilités prévues par l'article 12.6;

«2° chef gouvernemental

de la transformation numérique, en assumant les responsabilités prévues à

l'article 12.9;

gestionnaire des données numériques gouvernementales, en assumant les

responsabilités prévues à l'article 12.11.

«Il peut

déléguer par écrit à une personne relevant de sa direction l'exercice de l'une

ou l'autre des responsabilités qu'il assume.»

Donc, M. le

Président, l'article 4 du projet

de loi proposé introduit le nouvel

article 7.1 à la

loi sur les ressources informationnelles de manière à modifier le cadre de gouvernance

applicable en matière de ressources informationnelles afin de permettre

la mise en oeuvre des nouvelles mesures du projet de loi.

Trois nouvelles fonctions sont ainsi créées et

seront assumées par le dirigeant principal de l'information : le chef

gouvernemental de la sécurité de l'information, le chef gouvernemental de la

transformation numérique, le gestionnaire des données numériques

gouvernementales. Les responsabilités liées à ces nouvelles fonctions sont

respectivement déterminées aux articles 12.6, 12.9 et 12.12 introduits par

l'article 7 du projet de loi.

M. Barrette : Je n'ai pas de commentaire.

C'est juste que les 7.1, ça devient mélangeant, mais ce n'est pas la même loi,

M. Caire : Oui,

c'est le paragraphe 7.1°, là, c'est ça.

M. Barrette : Je n'ai pas

d'autre commentaire, M. le Président, là.

Le Président (M. Simard) : M.

le député de Rosemont.

M. Marissal : Oui. Bien, je

comprends que le DPI monte en grade, ou on lui donne de multiples nouvelles responsabilités.

Caire : ...c'est

selon.

M. Marissal : En fait, vous ne

lui avez pas mis des menottes, vous l'avez «upgradé». Bon, je vais encore me

faire taper sur les doigts pour un anglicisme, là. Vous l'avez gratifié de

nouvelles responsabilités.

M. Marissal : Voilà. Ça, c'est

plus français. Mais je m'étonne quand même : «Il peut déléguer par écrit à

une personne relevant de sa direction l'exercice de l'une ou l'autre des responsabilités

qu'il assume.» Il me semble qu'on ne souhaite pas que le DPI, qui vient de

devenir chef gouvernemental de la sécurité, délègue ça à quelqu'un.

Caire : C'est-à-dire

que... Je vous explique. Ce qu'on souhaitait faire, c'est de s'assurer de la...

Parce que tout ça est imbriqué. Alors, ici,

ce qu'on crée, c'est un modèle de gouvernance qui existe déjà, là, qui a été étudié,

élaboré et mis en application dans plusieurs grandes organisations.

Donc, il y a le chef de l'information, de qui relève, le chef de la... et

là je vous fais grâce des appellations anglophones qu'on utilise généralement, le

chef de la transformation numérique, le chef

de la sécurité de l'information, et existe déjà, à travers l'ITQ, le chef des

infrastructures technologiques. Donc, ça, ça existe par ITQ déjà.

Puis ce qu'on souhaite, dans le fond, c'est que

la ligne d'autorité soit claire entre ces trois officiers-là, qui sont

névralgiques pour la cohésion de ce qu'on disait tout à l'heure, c'est-à-dire

qu'on souhaite que ça devienne une boîte de

consultants, mais qui est quand même apte à opérer ses propres projets pour le

gouvernement. Donc, il y avait cette cohésion-là.

Et ce qu'on souhaite aussi, c'est de s'assurer

que ces responsabilités-là, de par leur nature, sont assumées par le plus haut officier du gouvernement en matière

de technologies de l'information, qui est le DPI. Donc, la délégation, c'est la

délégation de la tâche. Puis là je sais que le député de Rosemont est au fait

de toutes les subtiles nuances, là, donc je ne ferai pas de long

discours là-dessus, mais...

M. Marissal :

Je comprends. En fait...

M. Caire :

...on voulait déléguer la tâche, mais on voulait s'assurer que l'autorité...

c'est ça, l'autorité était assumée par l'officier le plus élevé dans la

hiérarchie de l'administration publique.

M. Marissal : Là, oui, j'ai

juste un autre anglicisme qui me vient en tête, là, c'est «where the buck

stops», autrement dit. C'est là où la responsabilité arrête.

M. Caire : C'est

ça, exactement, tout à fait.

M. Marissal :

Pas la responsabilité politique, bien sûr, qui est la vôtre et celle de la

présidente du Conseil du trésor, mais, à la fin, ultimement, la personne

responsable, c'est le DPI, qui chapeaute les autres.

M. Caire : C'est

ça, exactement.

M. Marissal : Très bien. Je

comprends. Merci.

Président (M. Simard) :

Y aurait-il d'autres remarques sur l'article 4? Sans quoi, nous allons

procéder à la mise aux voix. Mme la secrétaire.

La Secrétaire : Oui. M. Caire

(La Peltrie)?

Secrétaire : Pour les

membres du groupe parlementaire

formant le gouvernement,

M. Chassin (Saint-Jérôme)?

La Secrétaire : Pour les

membres de l'opposition officielle, M. Barrette (La Pinière)?

La Secrétaire : Et

M. Marissal (Rosemont)?

La Secrétaire : Et

M. Simard (Montmorency)?

Président (M. Simard) :

Abstention.

L'article 4 est donc adopté. Nous en sommes à

l'article 5. M. le ministre.

M. Caire : Qui se

lit comme suit, M. le Président :

L'article 8 de cette loi est

modifié :

1° par le remplacement, dans le premier alinéa,

de «au sein de celui-ci et après consultation» par «parmi les membres du

personnel de direction qui relèvent directement de son sous-ministre et après

recommandation»;

2° par le

remplacement, dans le deuxième alinéa, de «après consultation» par «public

après recommandation».

L'article 5 proposé modifie

l'article 8 de la

loi sur les ressources informationnelles afin de prévoir

que la désignation d'un dirigeant de l'information par un organisme public

s'effectue sur la recommandation du dirigeant principal de l'information.

Le Président (M. Simard) : Des commentaires?

M. Barrette : Oui, bien, c'est

des questions, surtout, là. Là, vous allez juste me dire si le parallèle que je

fais est boiteux, là. Est-ce que,

là, on crée une situation similaire au DAJ dans les ministères,

qui relèvent tous, par définition, non pas du ministère, mais du ministère

de la Justice?

M. Barrette : C'est ça qu'on

fait, là?

Caire : C'est

fortement inspiré de, oui.

M. Barrette : O.K. Ça veut dire que, dans les cas de figure qui sont

à 8, là, que ce soit nommé par le ministre, sous le sous-ministre ou par... ce sont

tous des gens qui, en bout de ligne, dans l'organigramme, vont relever du DPI?

Caire :

Bien, c'est-à-dire qu'il y a un lien administratif avec le sous-ministre, là,

qui demeure, mais, de par tout ce qui est opérationnalisation, puis c'est ça,

la volonté, le lien d'autorité se fait avec le DPI.

M. Barrette : O.K. Le lien d'autorité se fait avec le DPI, correct,

c'est comme la DAJ. Mais l'opérationnalisation de la décision, il va-tu y avoir, dans ce schéma-là, une collision entre

la volonté, mettons, d'un ministre et la volonté du DPI?

M. Caire :

Parce que le DPI peut prendre des indications... des indications d'application?

M. Caire :

Des indications d'application. En bon français, le DPI peut donner des ordres

dans ses champs de compétence qui sont paramétrés, mais ce sont des...

M. Barrette :

Je comprends, dans les champs de compétence, mais le ministère ou l'organisme

ne peut pas arrêter ça?

M. Barrette :

Dans aucun cas de figure?

M. Barrette :

Bien, il doit bien y avoir le cas de figure budgétaire.

Caire : Bien oui,

mais attention, là. Les indications que le DPI prend sont dans le respect des

lois, des politiques, puis on va le voir plus loin, là, de

toute la... Tout ce que le Conseil des ministres décide, le DPI y est soumis,

et en plus de la ligne d'autorité avec la présidente du Conseil du trésor. Donc, le DPI ne peut pas partir sur une dérape

puis dire : Bon, bien, moi...

M. Barrette :

Je comprends que, dans le scénario positif, le DPI, après avoir eu

l'autorisation du Conseil du trésor — puis, ça, je vais y revenir dans

un instant — décide,

dans tous les ministères, de passer... C'est déjà arrivé, tiens, je vais

prendre un exemple pratique, très pratique, vraiment, là, ça a existé, puis ça

a existé dans mon mandat. Alors, le DPI

décide que, là, on va tous passer à Outlook, alors qu'on était à Lotus dans

50 % des ministères et organismes. Là, tout le monde va être sur Outlook à partir de maintenant dans tout

le réseau. Le DPI a eu l'autorisation du Trésor parce que de l'argent a été

associé à ça. Le ministère x qui était avec Lotus ne peut pas arriver puis

dire : Moi, je ne ferai pas ça.

M. Caire :

Bien, je vais laisser, avec la permission... Parce que la question est

superintéressante, puis je...

M. Barrette :

C'est parce que ça a été vécu, ça.

M. Caire : Oui... Non. Bien, voilà. Alors, c'est pour ça,

avec la permission de la commission, M. le

Président, je laisserais le

DPI répondre à cette question-là qui, dans le fond, s'adresse à lui, là.

Président (M. Simard) :

Il y a consentement? Alors, monsieur, pour les fins de notre procès-verbal, auriez-vous d'abord l'amabilité de vous présenter?

M. Rodrigue

(Pierre E.) : Oui. Pierre Rodrigue, sous-ministre associé à la

Transformation numérique gouvernementale et dirigeant principal de

l'information.

Le Président

(M. Simard) : Soyez le bienvenu, monsieur.

M. Rodrigue

(Pierre E.) : De la façon dont on est organisés, M. le Président,

c'est qu'on a... puis vous voyez, dans la loi, un comité de gouvernance en

ressources informationnelles. Donc, on a organisé notre mode de fonctionnement avec les 26 dirigeants de

l'information comme si on était un conseil d'administration de gouvernance

des ressources informationnelles. Donc, les décisions que l'on prend, on les

prend en collégialité. On a également Infrastructures

technologiques Québec, là, qui participe à nos travaux. Et on le fait comme un

conseil d'administration, c'est-à-dire on a les 26 ensemble, plus

trois sous-comités, un sous-comité de gouvernance, sécurité de l'information,

transformation numérique. Et on n'est pas dans un mode d'imposer ou de vouloir

forcer les gens à le faire, mais on essaie de prendre les décisions en

collégialité.

C'est sûr que, comme le

dossier de la consolidation des centres de traitement informatique, la décision

est prise par le gouvernement, donc on travaille ensemble à l'opérationnaliser.

Et, en ce qui concerne les priorités d'investissement, on le fait via le

PQI-RI. Donc, l'exercice annuel d'attribution des budgets d'investissement,

bien, on s'assure que les décisions que l'on prend... et c'est la raison pour

laquelle on veut avoir un portefeuille gouvernemental de projets, c'est que ça

soit cohérent avec la décision, donc que l'argent et les ressources suivent les

décisions qui sont prises. Mais on les prend vraiment en collégialité comme un conseil

d'administration.

M. Barrette : Oui, mais, M. le

Président, ce n'était pas ça, ma question. Ma question, c'est après, un coup

que la décision est prise, là. Vous êtes 26, O.K.? Je ne sais pas d'où ils

viennent, ils viennent des 26... de tous les...

Caire : Les DI de

tous les portefeuilles.

M. Barrette : Bon. Ça, ces

gens-là, ça ne sera plus comme ça, après, là. J'y reviendrai. Un coup que la décision est prise, là, vous êtes 26 autour de la

table, là. Il y a un consensus, un consensus, ce n'est pas une unanimité. Alors, au mieux, c'est une

majorité importante. Alors là, il y a ceux qui buckent. Alors, un coup que la

décision est prise, là, il n'y a plus personne, après ça, qui peut l'empêcher

dans ce système-là, en empêcher l'application?

M. Rodrigue (Pierre E.) : Non.

Bien, quand la décision est prise, il faut la prendre. Comme les décisions

qu'on a prises en matière de sécurité de l'information, les ministères les

appliquent. Donc, ils doivent... On n'a pas vécu de situation où on a... où il

y a un conflit. Puis les projets majeurs, tous les dossiers d'opportunité, les

dossiers d'affaires sont approuvés par le Conseil du trésor, et le DPI en fait

l'analyse et la recommandation. Donc, au pire, on bloquerait un projet ou on

refuserait de lui accorder du financement via le PQI-RI, là. Donc...

M. Barrette : Oui, mais l'autre

sens, là. Moi, c'est dans l'autre sens, là. Vous avez pris une décision...

M. Caire : Mais

la réponse à votre question, M. le député, c'est oui. Une fois que la décision

est prise, elle est entérinée...

M. Barrette : Sur le terrain,

là, le ministre, là, il n'a pas le choix.

Caire :

...l'opérationnalisation de ça, le DPI a maintenant le pouvoir d'imposer aux

récalcitrants, c'est... Dans le processus décisionnel, je pense que

M. Rodrique vient de vous expliquer, là, comment la décision... Mais, une

fois que la décision est prise, là, oui, les récalcitrants n'auront pas le

choix de se conformer à la décision.

M. Barrette : O.K. Ça, c'est maintenant,

M. Caire : Bien,

c'est plus avec 95 que maintenant.

M. Barrette : Non, je m'excuse, j'ai mal posé ma question.

Désolé. C'est maintenant, dans le futur, ça va... C'est...

M. Caire : Oui,

c'est ça, avec 95. Oui.

M. Barrette : Maintenant, aujourd'hui, là, maintenant, il y a comme un conseil

d'administration de

26 dirigeants de l'information, de chacun des ministères et

organismes, qui se mettent autour d'une table, puis ils prennent les décisions.

Un coup que 95 va être en fonction, ça, ça va disparaître.

M. Caire : Non,

le conseil va demeurer. Ce que le 5 amène...

M. Barrette : Bien, c'est parce

que, dans 95, là, les 26 vont devenir... ils vont être sous l'autorité du DPI,

alors que, là, actuellement, ils ne le sont pas, au terme d'autorité

hiérarchique.

M. Caire : Oui.

Bien, je veux juste apporter des petites nuances à ça. La petite nuance que

j'apporte, c'est que ce que 5 vient faire, c'est d'augmenter l'apport du DPI

dans la nomination des DI. Donc là, actuellement, le ministre qui nomme

son DI a l'obligation de consulter le DPI. Maintenant, ce qu'on lui fait,

c'est l'obligation d'aller chercher une recommandation du DPI, mais c'est

encore le ministre qui va nommer son DI parce qu'il y a cette ligne...

comme je disais, il y a encore une ligne d'autorité administrative du sous-ministre,

et on demande maintenant que le DI soit nommé dans le personnel de direction.

Donc, ce qu'on veut, c'est s'assurer que le DI occupe une position hiérarchique

suffisamment élevée pour être capable, justement, d'avoir accès au sous-ministre

en

titre et éventuellement au ministre. Donc, ça, c'est les deux modifications

qu'on apporte à 5.

M. Barrette : Mais ça, je

comprends. Le dirigeant local d'information, le sous-ministre a une autorité

opérationnelle sur lui mais pas décisionnelle quant au projet à mettre en

application.

M. Barrette :

Bon. Mais donc cette personne-là, là, elle va relever... Ce n'est pas le même

lien hiérarchique, dans le futur, avec 95, qu'actuellement.

M. Caire :

Non, non, non. Ça, c'est clair. Tout à fait.

M. Barrette :

Alors, d'où ma question : À quoi va servir ce conseil d'administration là?

Caire :

Bien, parce que le conseil d'administration...

M. Barrette :

Pour la décision. Pour la décision.

M. Caire : Oui, oui, oui, c'est ça que j'allais dire. Bien,

c'est parce que le rôle du DI, c'est, oui, d'opérationnaliser les décisions qui sont prises, mais c'est aussi

d'amener la réalité du ministère et/ou des organismes de son portefeuille

au conseil. Le conseil, il va se réunir...

Bon,

bien, par exemple, il y a un sous-comité sur la sécurité. Donc, la

sécurité, ils vont réfléchir à l'opérationnalisation, ils vont réfléchir

aux moyens à mettre en oeuvre, ils vont réfléchir aux améliorations. Donc,

c'est un comité de gouvernance. Donc...

M. Barrette :

Oui, mais, ça, ce n'est pas dans la loi.

M. Caire :

Oui, oui, c'est dans la loi. Ce n'est pas dans 95, mais ça existe déjà dans la

loi. Le comité, il est institué en vertu de...

M. Barrette :

Donc, ça, ça ne change pas.

Caire :

Non, ça, ça ne change pas.

M. Barrette :

O.K. O.K. C'est beau.

Président (M. Simard) :

Merci. Y aurait-il d'autres commentaires sur l'article 5? M. le député de Rosemont? Sans quoi nous allons procéder à la mise

aux voix. Mme la secrétaire.

La Secrétaire :

Pour, contre, abstention. M. Caire (La Peltrie)?

Secrétaire : Pour les

membres du groupe parlementaire formant le gouvernement, M. Chassin (Saint-Jérôme)?

La Secrétaire :

Pour les membres de l'opposition officielle, M. Barrette (La Pinière)?

La Secrétaire :

M. Marissal (Rosemont)?

La Secrétaire :

Et M. Simard (Montmorency)?

Le Président

(M. Simard) : Abstention. Cet

article est donc adopté. M. le

ministre, nous sommes prêts à prendre en considération l'article 6.

M. Caire :

L'article 6, M. le Président :

L'article 10.1 de cette loi est

modifié, dans le premier alinéa :

1° par le

remplacement, dans le paragraphe 1°, de «règles de gouvernance et de gestion

établies en vertu de la présente loi ainsi

qu'à la mise en oeuvre des orientations visées au deuxième alinéa de

l'article 21», par «orientations, stratégies, politiques,

standards, directives, règles et indications d'application pris en vertu de la

présente loi»;

2° par

l'insertion, à la fin du paragraphe 3°, de «ainsi que du respect des

obligations découlant de la présente loi»;

3° par le

remplacement, dans le paragraphe 8°, de «et des» par «ou la mise en commun ou

le partage de celles-ci, ainsi que des»;

4° par l'insertion,

après le paragraphe 9°, des suivants :

«9.1° d'agir à

titre

de chef délégué de la sécurité de l'information, en assumant les

responsabilités prévues à l'article 12.7;

«9.2° d'agir à

titre de gestionnaire délégué aux données numériques gouvernementales, en

assumant les responsabilités prévues

à l'article 12.12, sauf lorsque le ministre titulaire du ministère duquel

il relève ou le dirigeant d'un organisme public

qui y est autorisé par le Conseil du trésor désigne une autre personne à

titre

de gestionnaire délégué aux données

numériques gouvernementales en suivant les règles prévues par l'article 8

pour la désignation du dirigeant de l'information, avec les adaptations

nécessaires;».

M. le Président,

l'article 6 propose une reformulation de la règle applicable pour les

paragraphes 1° et 3° de l'article 10.1 de la

loi sur les ressources

informationnelles afin d'assurer une action concertée, globale et intégrée de

l'administration publique.

Il apporte aussi une

précision au texte du paragraphe 8° de l'article 10.1 de cette loi.

prévoit enfin d'introduire les paragraphes 9.1° et 9.2° à l'article 10.1

de la

loi sur les ressources informationnelles, créant ainsi la fonction

de chef délégué de la sécurité de l'information et celle de gestionnaire délégué aux données numériques gouvernementales,

et il précise que les responsabilités liées à ces fonctions sont assumées,

sauf exception, par le dirigeant de l'information des organismes publics.

Le Président

(M. Simard) : Merci. Des remarques? M. le député de La Pinière?

Le Président

(M. Simard) : Merci. M. le député de Rosemont.

M. Marissal :

Je vous remercie.

Le Président

(M. Simard) : Sans quoi, nous allons procéder à la mise aux voix.

Mme la secrétaire.

La Secrétaire :

Oui. M. Caire (La Peltrie)?

Secrétaire : Pour les membres du groupe parlementaire formant

le gouvernement, M. Chassin (Saint-Jérôme)?

La Secrétaire :

Pour les membres de l'opposition officielle, M. Barrette (La Pinière)?

La Secrétaire :

Pour M. Marissal (Rosemont)?

La Secrétaire :

Et M. Simard (Montmorency)?

Le Président

(M. Simard) : Abstention.

L'article 6 est donc adopté. Bien.

Nous en sommes rendus à l'étude de

l'article 7. Comme il s'agit d'un des articles les plus substantiels de ce

projet de loi, qu'il y a plusieurs sous-articles,

hein, dans le même article, je vous procède... je vous propose que nous

puissions procéder simplement avec une discussion par blocs, là, donc en

commençant par le 12.2. Une fois que c'est fini, on passe au 12.3 puis on fera

un vote global à la fin.

M. Barrette :

Je... tout à fait d'accord.

Le Président

(M. Simard) : Très bien. Alors, M. le ministre, peut-être d'abord

pour 12.2.

M. Caire :

Parfait, M. le Président. Donc, 7 : Cette loi est modifiée par

l'insertion, après le

chapitre II.1, des suivants :

«Sécurité de

l'information.

«12.2. Tout organisme

public doit assurer la sécurité des ressources informationnelles et de l'information

qu'il détient ou qu'il utilise en vertu des

obligations qui le régissent, en cohérence avec les orientations, les

stratégies, les politiques, les standards, les directives, les règles et

les indications d'application pris en vertu de la présente loi.

«Lorsqu'un organisme

public constate qu'une ressource informationnelle ou une information sous sa

responsabilité fait ou a fait l'objet d'une atteinte à sa confidentialité, à sa

disponibilité ou à son intégrité, ou qu'un risque d'une telle atteinte est

appréhendé, [elle] doit prendre toutes les mesures visant à en corriger les

impacts ou à en réduire le risque.

«Si un tel organisme

public constate ou appréhende qu'une ressource informationnelle ou une

information d'un autre organisme public est susceptible de subir une telle

atteinte, il peut lui communiquer tout renseignement, incluant un renseignement

personnel, jugé nécessaire pour en corriger les impacts ou en réduire le

risque.»

M. le Président, souhaitez-vous que je lise 12.3

aussi ou vous souhaitez...

Président (M. Simard) : Bien, on pourrait peut-être d'abord,

comme je vous le proposais, faire le débat sur 12.2 et puis, une fois que c'est

derrière nous, on passe à 12.3. Rien n'empêche, chemin faisant, qu'on pourra peut-être

revenir, là, si on voit que le besoin se présente.

M. Caire :

Comme il vous convient, M. le Président.

M. Barrette :

Allons-y

article par article, là, puis consentons à l'avance de revenir, si on

l'a voté, là.

Le Président

(M. Simard) : Exactement.

M. Caire :

Ça fait que je descends?

M. Barrette :

Non, parce que... Faisons...

M. Caire :

O.K., c'est beau.

M. Barrette :

En tout cas, moi, c'est ce que je propose, là.

Le Président

(M. Simard) : Est-ce qu'il y a des commentaires sur 12.2? On va

commencer comme ça, là.

M. Barrette :

Oui. Alors, moi, j'en ai un pour commencer.

Le Président

(M. Simard) : Bien.

M. Barrette :

Là, là, dans le premier alinéa, O.K., là on parle, évidemment, «tout organisme

public». Là, je vais faire exprès de parler des universités, mettons, ou des

cégeps. Je fais exprès, là, je fais l'avocat du diable. Là, évidemment, il va y

avoir, sur le plan de la sécurité, des orientations, stratégies, politiques,

standards, directives, et ainsi de suite, décrétés par le DPI. On s'entend?

M. Barrette :

J'ai une bonne lecture?

M. Caire :

Vous avez une bonne lecture.

M. Barrette :

Alors là, est-ce que le mot opérationnel le plus important devient «en

cohérence»?

M. Barrette : Ça, c'est la différence entre d'arriver puis de

dire : Voici, vous allez utiliser, là, telle application de sécurité partout, puis c'est celle-là que vous

allez être obligé de prendre, versus : Voici mes orientations, mes niveaux

de sécurité, par exemple, et ça, ça doit être cohérent avec ça.

M. Caire :

Oui. Oui.

M. Barrette : Vous avez un degré de liberté qui rend compte des

obligations qui sont qualifiées par les termes qui sont là.

M. Barrette :

C'est comme ça qu'il faut le lire?

Caire :

C'est comme ça qu'il faut le lire, puis c'est vrai parce que n'oubliez pas qu'Hydro-Québec,

notamment, Loto-Québec, ces sociétés d'État là sont elles aussi soumises à la

LGGRI. Donc, l'objectif n'est pas d'imposer une application en particulier,

mais de s'assurer que le réseau gouvernemental de cyberdéfense est en

cohérence, donc qu'on ne crée pas des failles dans ce réseau-là. Puis, à partir

de là... Et c'était tout à fait applicable aux

universités. Donc, dans la mesure où c'est cohérent avec les dispositions qui

sont prises, vous avez raison, il y a cette liberté d'action là qui

existe.

M. Barrette : Peut-être, M. le Président, ai-je mal lu, mais la

réponse me satisfait. À moins que Me Bacon ait quelque chose à

rajouter? Non? Ça va? Non? Ça va.

M. Caire :

Sachez, M. le député, que la règle, c'est : si je dis des niaiseries,

Me Bacon...

M. Barrette : Oui, mais elle

n'est pas habituée.

Caire : ...et

M. Rodrigue ont notamment le droit mais l'obligation de me corriger.

M. Barrette : Oui. Alors, très

bien. Alors, ça, quand on lit ça, là, c'est quasiment implicite, puis je ne me

rappelle pas d'avoir lu d'une manière aussi précise dans le projet de loi. Dans

un monde idéal, ça veut dire que le DPI a une espèce de pouvoir d'inspection de

conformité, qu'on pourrait dire, chez tous les ministères et organismes? Parce

que, là, ici, le deuxième alinéa, là, le déclencheur de faire quelque

chose, c'est quand il constate qu'il s'est passé un bris de sécurité. Mais là,

comme on est dans la...

Caire : Oui, mais,

dans ce cas-là, ça serait plus le DI...

M. Barrette : Je veux juste

finir mon commentaire, là. Comme on est dans l'obligation de cohérence, est-ce

que... vu qu'on n'est pas dans une situation d'exécution d'un ordre qui vient

d'en haut, on est dans un objectif de cohérence par rapport à des directives,

des qualifications, des qualités déterminées par en haut — c'est

correct, là, j'étais satisfait de la réponse — n'y

a-t-il pas lieu d'avoir une obligation de... si ce n'est pas le bon mot,

«inspection», là, mais «vérification»

ou «whatever», là, pour s'assurer, de la par d'en haut, le DPI, que tout se

passe selon ce qui a été édicté en bas?

M. Caire : Bien,

le dirigeant de l'information du portefeuille a cette prérogative-là...

M. Barrette : C'est vrai.

M. Caire : ...de

s'assurer que cette disposition-là, elle est respectée. Il existe aussi la

possibilité pour un organisme de demander à

avoir, lorsque le portefeuille est très large, là — on parle, mettons, des réseaux, là — d'avoir

son propre dirigeant de l'information. Si je ne m'abuse, c'est le cas d'Hydro-Québec.

Hydro-Québec a un dirigeant, malgré le...

Alors, ministère de l'Énergie et des

Ressources naturelles a un DI, mais Hydro-Québec a son propre DI. Donc...

M. Barrette : La raison pour

laquelle je pense que ma question est pertinente, c'est qu'on est aujourd'hui devant le projet de loi n° 95 parce qu'au fil

du temps se sont mises en place des inégalités qualitatives, on va dire, entre

les ministères et organismes, là.

M. Barrette :

Alors, si le projet de loi n° 95 existe aujourd'hui parce que ça, ça s'est

mis en place, malheureusement, bien, pour éviter ça dans le futur,

peut-être qu'il devrait y avoir un exercice régulier de quelqu'un qui fait le

trafic pour s'assurer que tout est à niveau.

Bon, là, la réponse, c'est : Les dirigeants

locaux dépendent d'en haut, donc ça va se faire automatiquement. Peut-être.

Caire : Non, non,

mais ce que je vous dis, c'est que ce que ça fait... puis on va le voir plus

loin dans leur prérogative, là, dans leurs responsabilités, c'est-à-dire, des

dirigeants, des DI, qu'ils assument, d'entrée de jeu, la fonction de chef délégué de la sécurité puis chef

délégué de la gestion des données. Donc, d'entrée de jeu, la loi

dit : Vous êtes... à défaut d'indication contraire du ministre

titulaire, vous êtes... vous assumez ces responsabilités-là, et, dans ces responsabilités-là,

viennent les responsabilités qui seront élaborées avec l'article 12.2 et

suivants.

Donc, dans la lignée de votre question : Est-ce

qu'il y aura des mécanismes de contrôle pour s'assurer que les directives sont

suivies?, la réponse à ça, c'est oui. Maintenant, ce n'est pas le DPI qui va le

faire pour l'ensemble, mais cette responsabilité-là, elle est déléguée aux DI,

donc...

M. Barrette : Oui. Mais je vais

prendre un exemple pour lequel le ministre pourra consulter son collègue. Le ministre

actuel de la Santé, là, c'est ce qu'il faisait dans la vie, là. Alors,

Cascades, le groupe Cascades, a des... des «plants», comment ça se dit en français...

des usines dans plusieurs pays du monde et sur plusieurs continents. Alors, ce

n'est pas parce qu'il y a un dirigeant local qu'il n'y a pas quelqu'un de la

maison-mère qui ne vient pas faire une petite visite de temps en temps pour

faire du redressement.

M. Caire : Non, non, non. Je comprends. Je comprends. O.K., je comprends. Oui, oui, oui. Bien oui, c'est

sûr.

M. Barrette : Tu sais, à un

moment donné, le fait d'avoir un dirigeant, là, ça ne veut pas dire qu'il fait

bien sa job, là.

M. Caire : C'est

sûr, mais, tu sais, c'est ce qu'on disait tout à l'heure avec le député de Rosemont,

la tâche est déléguée, mais la responsabilité est celle du DPI.

M. Barrette :

Bien, mon point, c'est ça, là. Mon point, là, c'est que...

M. Caire :

Oui, oui, oui. Je n'avais pas compris.

M. Barrette :

...le DPI, il peut bien dire : Oui, mais j'ai un officier, là, qui dépend

de moi en bas, oui, mais c'est parce que... C'est pour ça qu'il y a des

contrôles dans la vie, là. Il y a des contrôles parce que ce n'est pas parce

qu'il y a une personne en position de responsabilité que cette personne-là va

bien faire son travail.

M. Caire :

Je n'avais pas bien compris votre question.

M. Barrette :

Ça fait que, donc, dans le projet de loi, est-ce qu'en quelque

part il y a ça?

Caire : Bien oui, parce que c'est inhérent à la fonction de

DI, de DPI. C'est ce qu'on a dit tantôt. Vous parlez de la ligne

d'autorité, là?

M. Barrette :

Non, la ligne, elle est là, mais, l'exécution de ça, là, il y a-tu quelqu'un

qui vient périodiquement vérifier? Moi, là...

M. Caire :

Oui, oui, mais ça va...

M. Barrette :

O.K. Rappelez-vous, là, M. le ministre... M. le Président, rappelons-nous

qu'ici, dans cette salle, il était là, et vous savez qui, et j'ai posé

la question à laquelle je n'ai pas eu de réponse : Êtes-vous à jour?

M. Caire :

Hein? Là, je... désolé, je viens de manquer un train, là.

M. Barrette :

Il y avait une organisation coopérative très connue qui est venue, à un moment

donné, s'asseoir ici, à laquelle j'ai posé

la question : Êtes-vous à jour?, puis je n'ai jamais eu la réponse. Et on

sait aujourd'hui, je pense, qu'ils ne

sont pas à jour, qu'ils n'étaient pas à jour. Alors, il y avait un dirigeant.

D'ailleurs, ils l'ont mis dehors.

M. Caire :

Dirions-nous que c'est de notoriété publique maintenant?

M. Barrette :

Oui. Hein, il était là, le gars en question, là. Il était à la gauche du

président. Et il n'est plus là, ni à sa gauche, ni à sa droite, ni dans le même

bâtiment. Donc, il y avait quelqu'un...

M. Caire :

Non. Ni dans la même organisation.

M. Barrette :

Non. Ça fait qu'il y avait quelqu'un en charge, puis il n'y avait personne qui

le vérifiait.

M. Caire :

Oui. Oui, mais, là, les responsabilités sont différentes. D'abord, il y a la

responsabilité qui échoit au président du Conseil du trésor, on va le voir un

peu plus loin, là, parce que, selon la...

M. Barrette :

Bon, on le verra un peu plus loin, mais vous comprenez mon...

M. Caire :

Oui, oui. Non, mais c'est... La réponse à votre question, c'est oui.

Caire :

Oui, puis c'est un peu ce qu'on disait tantôt avec le député de Rosemont, le

projet de loi prévoit où est-ce que le pichet va s'arrêter, pour faire une

traduction très personnelle de l'expression.

M. Barrette :

Oui, mais, ça, c'est le «bucket», ce n'est pas le «buck».

Caire :

Bon, bien, écoutez, là... mais...

M. Barrette :

Le «buck», ça, c'est 7.1. Le «buck», c'est...

M. Caire :

La chopine! Où est-ce que la chopine s'arrête.

M. Barrette :

Le «buck», c'est 7.1., c'est quand qu'il n'y a plus d'argent, 7.1...

M. Caire :

Oui, c'est ça. Alors... mais on sait maintenant où est-ce que la chopine

s'arrête.

M. Barrette : Oui. O.K. C'est

bon.

Le Président

(M. Simard) : D'autres remarques pour l'onglet 12.2? Sans

quoi nous poursuivons. M. le ministre. Oh! excusez-moi, M. le député de

Rosemont.

M. Marissal :

Vous semblez avoir une vision en tunnel aujourd'hui...

Le Président

(M. Simard) : Ah! plus qu'en tunnel. Je... Voulez-vous qu'on

embarque dans le sujet?

M. Marissal :

Êtes-vous libre pour le lunch?

M. Barrette :

...tunnel serait mieux utilisé en sécurité informatique.

Le Président

(M. Simard) : Je suis persuadé qu'ils le sont déjà très bien.

Alors, M. le député de Rosemont, veuillez poursuivre.

M. Marissal :

«Tout organisme public doit assurer la sécurité des ressources

informationnelles et de l'information

qu'il détient ou qu'il utilise en vertu des obligations qui le régissent, en

cohérence avec les orientations, les stratégies, les politiques, les...»

J'arrête là, là. Ça, une des premières affaires qu'on apprend quand on est élus

ici puis qu'on commence à faire des projets

de loi, c'est qu'on nous dit que le législateur ne parle pas pour rien dire.

C'est quand même étonnant de devoir

mettre ça dans un projet de loi, là, et... de un. De deux, est-ce que ce n'est

pas 64 qui fait ça?

M. Caire :

Non, non.

M. Marissal :

Et, de trois, je ne vois pas la suite, à moins qu'elle soit plus tard dans le

projet de loi, des conséquences de ne pas faire telle chose.

Caire :

O.K. Alors, pour votre première question, est-ce qu'il est pertinent de le

mettre dans la loi, je vous dirais que oui

parce que... Puis est-ce que... Et je vous assure que le législateur ne parle

pas pour rien dire. Ça... Je ne vous demande pas de me croire sur

parole, là, mais, de toute évidence, puis je le dis, là, presque naïvement ou

candidement, là, c'est selon, la cybersécurité, la sécurité de l'information

n'a peut-être pas occupé la place qu'elle méritait dans les dernières années,

et, oui, je pense que cette loi-là doit affirmer ce principe de responsabilité

des organismes et du gouvernement, ultimement, envers les renseignements qui

lui sont confiés. Oui, je pense qu'il faut que

ce soit écrit dans la loi pour dire : Là, là, c'est sérieux, on doit s'en

occuper. Ce n'est pas une option, ce n'est pas un choix budgétaire pour lequel on dit : Bien,

pas cette année, l'année prochaine peut-être. Non. Bien non. C'est ici et

maintenant.

Deuxièmement,

64, 64 va occuper le terrain du droit. Donc, c'est la protection des

renseignements personnels, mais dans une perspective juridique, à savoir

qu'est-ce que j'ai le droit de faire, qu'est-ce que je n'ai pas le droit de

faire. Et c'est pour ça que je dis : 64 est technologiquement neutre. Ici,

on aborde une question où on dit : Assurer la sécurité des

ressources informationnelles mais au sens technologique. Donc, on veut

s'assurer que n'importe quel zozo ne peut pas arriver avec une clé USB, rentrer

dans une salle des serveurs qui est une garde-robe, mettre la clé USB dans

l'ordinateur ou le serveur et télécharger des informations, retirer la clé USB

ou s'en aller... et s'en aller avec. Nous n'avons pas assumé la sécurité de

l'information si nous faisons ça. Je ne veux pas rentrer dans une salle des

serveurs puis voir cette salle des serveurs là protégée par des gicleurs à eau.

M. Marissal :

O.K. Donc, c'est une disposition technique...

M. Caire :

C'est une disposition technique.

M. Marissal :

...carrément de porte fermée puis de code numérique pour entrer ou de carte...

O.K., je comprends.

M. Caire : Voilà. Maintenant, sur les conséquences, bien, les conséquences

sont administratives. Évidemment, il

est du pouvoir du DPI de prendre les fameuses indications d'application, ce que nous avons fait avec un succès relatif l'automne dernier

en demandant l'installation de 15 mesures, minimum, au niveau de la

sécurité de l'information, ce qui n'est pas complété au moment où on se parle,

ce qui me semble être un peu long. Alors là... Mais, bon, dans le contexte

actuel, c'est ça qui est ça. Alors, avec 95, l'objectif est de raccourcir ces

échanges, délais, interactions et de s'assurer que la sécurité de l'information

occupe la place qu'elle mérite.

M. Marissal :

Cela dit, une sanction d'ordre administratif, ça existe déjà.

M. Marissal :

Alors, qu'est-ce qui change que de l'écrire dans un projet de loi, là, à 12.2,

que vous devez le faire, puisqu'il semble que, dans certains cas, ça ne se fait

pas puis que le bâton était déjà là?

Caire : Non, c'est-à-dire que, si je peux me permettre, ce

que 12.2 amène, c'est une obligation opérationnelle, et ce que les

articles précédents, qu'on a étudiés, amènent, c'est une capacité pour le DPI à

indiquer quelles sont ces obligations opérationnelles là

puis qu'est-ce que vous devez faire. Et là 12.2 dit : Bon, bien,

maintenant, là, vous avez une responsabilité,

vous devez l'assumer. Alors, ça, ça n'existe pas actuellement dans la loi...

dans la LGGRI. On est dans un mode très fédératif... je ne sais pas si

c'est la bonne expression... en fait, collégial. C'est très collégial, c'est

très convivial.

Une voix :

...actuellement.

M. Caire :

Actuellement, c'est très convivial. Il y a beaucoup de discussions, il y a

beaucoup d'interactions, d'échanges, de grands débats sur toutes sortes de

sujets très, très, très intéressants, mais qui ne se traduisent pas

nécessairement par des gestes opérationnels conséquents.

M. Marissal :

O.K. Ça va pour cette partie-là. Je ne sais pas si vous l'avez fait à une étape

ultérieure, je ne crois pas, mais ça fait quelquefois que vous parlez des

15 demandes de base en sécurité, là. Est-ce que, pour le bénéfice de nos

travaux, il ne serait pas utile de le déposer pour qu'on l'ait bien en tête

pour la suite? Ça fera... C'est une jauge en même temps, hein? C'est une

mesure.

M. Caire :

Oui. Bien, c'est 15 mesures minimum, là. Puis, quand je dis minimum, vous

allez le constater parce que je... M. le Président, je m'engage à les déposer

pour le bénéfice de la commission, mais vous comprendrez, M. le Président, que, compte tenu de la nature des

informations, je ne souhaite pas que les informations soient publiques.

Le Président

(M. Simard) : Dans ce cas-là, ce sera transmis et non pas déposé.

Le Président

(M. Simard) : On se comprend bien.

M. Caire :

Je vais les transmettre à la commission, effectivement, pour le bénéfice des

élus.

Le Président

(M. Simard) : Très bien. Y aurait-il d'autres remarques sur la

sous-section 12.2? Nous poursuivons, M. le ministre, 12.3.

M. Caire :

Oui, Merci, M. le Président.

«12.3. Un organisme

public doit, sur demande du chef gouvernemental de la sécurité de

l'information, lui communiquer sans délai tout renseignement, incluant un

renseignement personnel, même si celui-ci doit être généré ou que sa

communication implique des opérations d'extraction, lorsque cela est nécessaire

à la prise de mesures visant à corriger les impacts d'une atteinte visée au

deuxième alinéa de l'article [2.2] ou à en réduire le risque.»

M. Barrette :

Un commentaire?

Caire : Eh bien...

voilà. Excusez, vous avez raison. Non, mais j'étais ébahi, tellement,

moi aussi, je trouve que c'est un

article brillant.

L'article 12.3

confère l'obligation pour un organisme

public de communiquer sans délai au

chef gouvernemental de la sécurité de l'information tout renseignement, incluant un renseignement personnel, dans

le contexte de la prise de mesures permettant d'assurer la sécurité de

l'information.

M. Barrette :

Et, ça, c'est en lien avec le deuxième alinéa de 12.2, hein, c'est ça?

M. Caire :

Oui. Exact.

Le Président

(M. Simard) : ...puisse, bon, peut-être...

M. Barrette :

Non, c'est... Hein? Si je souhaite?

Le Président

(M. Simard) : Non, bien... puisque le député de Rosemont était

prêt, peut-être, pour formuler une intervention.

M. Barrette : Non, bien, disons que je tournais ma langue sept

fois pour la formuler correctement, là. Dans 12.2, là, l'organisme constate, O.K.?

C'est bien ça, hein?

M. Barrette : C'est en fonction

du deuxième alinéa. Alors, l'organisme public constate qu'une ressource... il y

a eu un problème, un événement de confidentialité, comme on l'a dit

précédemment à plusieurs reprises dans 64. Ça, ça veut

dire qu'essentiellement le dirigeant, là, celui qui est là, là, a le droit de

demander n'importe quoi, là, c'est... n'importe quoi qui est en lien avec cet événement-là,

là. Il n'y a pas de limite, là.

M. Caire : Oui, oui,

qui est en lien avec l'incident de confidentialité. En fait, basé sur

l'expérience, sans cibler des cas très

précis, je vous dirais qu'il y a des attaques qui ont été rapportées peut-être

un peu tard aux autorités, d'une part.

M. Barrette : On va dire ça

comme ça.

Caire : D'autre

part, il y a eu beaucoup de je suis capable. Donc, on relatait les faits...

bien, c'est-à-dire, le minimum, puis après

ça c'était : Inquiétez-vous pas, on s'en occupe, avec des conséquences

plus ou moins heureuses, ce qui nous amène à vouloir, avec le

déploiement du réseau gouvernemental de cyberdéfense, briser un peu cette

espèce de culture où chacun voit une attaque, une cyberattaque comme un événement

honteux qu'on doit cacher parce que ça doit vouloir dire qu'on n'est pas bons.

Alors là, ce qu'on dit, c'est : Bien non, tu sais, au contraire,

partagez-le, partage-le rapidement, puis on va travailler en... L'idée du

réseau gouvernemental de cyberdéfense, c'est cette espèce de périmètre de

sécurité.

Maintenant, souvent, pour analyse, on va avoir

besoin des différents journaux qui sont générés par les entrées, et tout ça,

pour être capable de... bon, il y a différents... Et c'est pour ça qu'on

dit : Même si ça doit être généré, parce que, des fois, ce n'est pas toujours

journalisé, donc là il y a d'autres manoeuvres, mais il dit : Ce n'est pas

grave, tu vas chercher l'information, donne-la-moi, puis on va analyser ça,

puis on va essayer de trouver les contre-mesures à l'événement dont tu as été

la victime.

Le Président (M. Simard) : M.

le député de La Pinière.

M. Barrette : Je n'aurai peut-être

pas la réponse maintenant, là, vu que c'est à 13 heures, là, qu'on

suspend.

Le Président (M. Simard) : Oui,

tout à fait.

M. Caire : Oui,

mais il y a consentement pour finir à 3 heures du matin.

M. Barrette : Ça ne me dérange

pas, moi. Je ne suis pas sûr que tout le monde va être content de ça. C'est

comme une garde, là, il n'y a rien là.

Là, là, ce que je comprends, là, ici, la manière

que c'est écrit, c'est d'abord et avant tout lié aux données qui sont emmagasinées là. Mais est-ce que, de la

manière que c'est écrit aussi, quand on dit «tout renseignement», ça peut nous mener, «tout renseignement», à propos des individus qui auraient été en faute à l'intérieur de l'organisation? Est-ce que ça peut aller

jusque-là? Est-ce que ça peut aller aussi à toute information liée à une enquête interne qui a été faite?

M. Caire : Ça

pourrait.

M. Barrette : Mais est-ce que

c'est clair que ça peut aller là?

M. Caire : Oui, oui, oui, bien oui. Mais, en fait, les

individus qui sont en cause, je vous dirais qu'on n'a pas besoin...

M. Barrette : Bien, s'il y en a

là, s'il y en a.

M. Caire : ...on n'a pas besoin de 12.3, là. Je veux dire,

qui sont les responsables des systèmes, qui sont les DI, qui sont les

responsables de la... on le sait, là. Je vous dirais que c'est... Est-ce que...

Ce n'est pas... On n'a pas besoin de 12.3 pour savoir ça, là. Ce que 12.3 vise,

c'est de dire : Bon, bien, écoute, tu as quelle application, tu as quelle version de l'application? As-tu déployé — excusez l'anglicisme — les patchs de sécurité? Est-ce que ça a été

mis à jour? Quand est-ce que ça a été mis à jour? Pourquoi ça n'a pas

été mis à jour?

M. Barrette : Non, je

comprends.

M. Caire : Bon.

Est-ce que tu as des journaux, qu'on vérifie? Il y a-tu exfiltration?

M. Barrette : Parce que 12.3

touche ce qui a été touché mais pas ce qui a touché.

M. Caire : Oui,

dit de même.

M. Barrette : Puis c'est ça qui

est l'objectif de 12.3?

M. Caire : Oui,

c'est ça.

M. Barrette : O.K. Bien là...

Président (M. Simard) : D'autres remarques?

M. Barrette :

Bien, cet après-midi.

Le Président

(M. Simard) : C'est ça.

M. Marissal :

Bien, il reste 18 secondes, M. le Président, ça fait que ça ne sert pas à

grand-chose que je me lance là. On va garder ça pour tout à l'heure.

Le Président

(M. Simard) : Très bien. Alors, compte tenu de l'heure, nous

suspendons nos travaux pour l'heure du midi et on se retrouve à 15 heures dans

la même salle, croyez-le ou pas.

(Suspension de la séance à

13 heures)

Le Président

(M. Simard) : Alors, voilà. Donc, je vous souhaite la bienvenue.

Bon retour. Je vous confirme que nous avons quorum et que nous pouvons

reprendre nos délibérations.

moment de suspendre, cet avant-midi, nous allions entamer nos discussions sur

l'onglet, en fait, 12.3, et le député de Rosemont, à ce moment-là, avait

signifié son intérêt de prendre la parole. Alors, cher collègue.

M. Marissal :

Oui. Attendez que je... Rebonjour, M. le Président.

Le Président

(M. Simard) : Bonjour.

M. Marissal : Donnez-moi deux petites secondes, que j'arrive

ici, que je me... ici. Ah oui! Je vais le relire, là, pour qu'on se

remette dans le bain, si vous permettez :

«12.3.

Un organisme public doit, sur demande du chef gouvernemental de la sécurité de

l'information, lui communiquer sans

délai tout renseignement, incluant un renseignement personnel, même si celui-ci

doit être généré», et je m'arrête ici, là, on comprend l'idée, là. «Un

organisme public doit, sur demande du chef gouvernemental de la sécurité de l'information», là, on comprend qu'ici

il y a un lien direct entre le chef gouvernemental et... on ne peut pas les appeler les

sous-chefs, là, ça a l'air péjoratif, là, mais les chefs de département de ministères.

L'organisme est donc représenté... Comment vous l'appelez, M. le ministre?

M. Caire :

Le chef délégué de la sécurité de l'information, M. le député.

M. Marissal : Donc, l'organisme, ici, est représenté en la personne du chef ou de

la cheffe déléguée de la sécurité en information.

M. Marissal :

O.K. Vous avez prévu des mécanismes. On s'approche un peu, là, de ce qui est

lanceur d'alerte, là, par exemple, là. Vous avez prévu des mécanismes où ça ne

passerait pas, par exemple, par le chef délégué qui, pour x ou y raison,

refuserait de le faire. Moi, je peux imaginer plein de raisons, notamment parce

qu'il aurait tort, puis qu'il se serait fait prendre en tort, puis qu'il dit à

son staff : Bien non, ce n'est pas nécessaire de le monter tout de suite.

Si le chef demande au délégué puis qu'il n'y a pas de remontée d'information,

ça s'arrête là. Donc, il faut qu'il y ait une soupape.

M. Caire :

Oui. Bien, en fait, vous allez le voir dans les différentes responsabilités qui

sont dévolues au chef gouvernemental de la sécurité de l'information et, in

extensio, à son chef délégué. Vous avez aussi les indications d'application qui

sont d'ordre exécutoire, donc qui ne sont pas laissées à la discrétion des gens

quant à leur exécution, mais on a quand même circonscrit la portée de cet

article-là aux incidents de confidentialité. Les incidents de confidentialité

sont définis dans le projet de loi n° 64, que nous étudions actuellement.

Donc, c'est vraiment,

pour résumer, en cas d'une cyberattaque, on a établi... on veut établir que la

rapidité de réaction de l'organisation est le maître-mot pour empêcher, ou,

dans le cas présent, parce qu'on a anticipé ou avéré un incident de confidentialité... Donc, dans le cas où on anticipe une

attaque, donc, il y a une attaque qui n'est pas réussie ou il y

a une attaque qui a réussi et donc

qui a traversé les systèmes de défense, dans l'un et l'autre, il y a

urgence à agir. Donc, c'est un peu l'idée de cet article-là, l'idée du sans

délai, l'idée de communiquer les informations qui sont de nature à prendre des mesures

pour empêcher l'attaque ou en mitiger les conséquences, là.

M. Marissal :

O.K., mais il n'est pas exclusivement question des attaques, ici, là. Ça peut

être toute activité entourant le traitement, le stockage de la donnée

personnelle, là.

M. Caire :

Bien, en fait, non, M. le député, parce que vous devez vous référer au deuxième

alinéa de 12.2. Le deuxième alinéa

dit : «Lorsqu'un organisme

public constate qu'une ressource

informationnelle ou une information sous sa responsabilité fait ou a fait l'objet d'une

atteinte à sa confidentialité, à sa disponibilité ou à son intégrité, ou qu'un

risque d'une telle atteinte est appréhendé, il doit prendre toutes les mesures

visant à en corriger les impacts ou à en réduire le risque.» Donc, c'est en

vertu du deuxième alinéa de 12.2 que vous devez lire 12.3.

M. Marissal :

O.K. Alors, ici, on est vraiment dans le département des...

M. Caire :

Cyberattaques.

M. Marissal :

...des attaques ou tentatives d'attaque.

M. Caire :

C'est ça.

M. Marissal :

Très bien, mais ma question demeure. Est-ce qu'il y a, subséquemment dans le projet

de loi, un complément d'objet direct de cet

article qui dit qu'il y a une autre

façon de faire monter l'information, que... si, d'aventure, là, une personne,

qu'on pourrait appeler le CDSI, là, on va faire court, le chef délégué de la

sécurité de l'information ne collabore pas, pour x ou y raison — on

peut imaginer des raisons — est-ce

qu'il y a une autre façon de faire cheminer l'information?

M. Caire :

En fait, non, parce que, techniquement, c'est lui qui détient l'information et

la responsabilité. Mais là, à ce moment-là, il est en défaut de sa responsabilité

vis-à-vis de la loi. Il peut toujours décider de faire ça, mais sa carrière va

être courte.

M. Marissal :

Bien, ça durera le temps que le chat sorte du sac.

M. Caire :

Ça durera le temps de l'opposition. C'est ça. Ça va durer le temps qu'on

réalise qu'il s'oppose à quelque chose qui est de sa responsabilité, mais, je

veux dire, il va être appelé à relever de nouveaux défis, là.

M. Marissal :

Oui, ou s'occuper de sa famille. On connaît les codes. Mais vous avez dit

vous-même ce matin qu'il y a eu des cas où ça a été long, là, puis je ne sais

pas si les gens étaient assis sur leurs mains ou...

Caire :

Oui, oui, absolument, mais ces obligations-là n'existent pas aujourd'hui, M. le

député, là, c'est pour ça qu'on les met dans la loi.

M. Marissal :

Ils n'existaient pas au moment de l'exemple, donc, que vous nous donniez.

M. Caire : L'exemple que nous avons... Prenons un exemple

au hasard, Place 0-5, là, il n'y

a pas d'obligation légale, là.

M. Marissal :

Je comprends.

M. Caire :

Je veux dire, chaque organisme public est responsable de la sécurité de ses systèmes

dans le contexte actuel.

M. Marissal :

Mais, tu sais, je ne veux pas me transformer en épouvantail à moineaux, là,

mais, tu sais, des tentatives de «hacking», de cyberattaque, il y en a quand

même beaucoup, il y en a souvent, on le sait. Tu sais, le chef... je vais finir

par l'apprendre par coeur, le chef délégué se dit : Bien, regarde, il y a

eu une tentative, on l'a réglée tout de suite, ça ne s'est jamais rendu, ça a

«poppé» dans un écran, puis c'est fini, on n'en parle plus... puis qu'il y a un

de ses subalternes qui dit : Bien non, chef, il faudrait qu'on en parle, parce

qu'on a eu...

M. Caire : Il n'a pas le choix, en fait. Puis, si je peux me

permettre, il n'a pas le choix de par le projet de loi n° 64.

Donc, la divulgation, par 64, elle est

obligatoire. Et il n'a pas le choix de répondre aux demandes du chef gouvernemental de la sécurité de l'information, de par la loi que, j'espère, nous adopterons. Donc, dans les deux cas,

il y a deux lois, là, qui encadrent, chacune dans leurs compétences

respectives, les obligations qui sont faites.

M. Marissal : Et je présume qu'il y a une troisième loi, qui

est celle sur les lanceurs d'alerte, qui s'appliquerait.

M. Caire : Oui, mais là on ne touche pas... là on touche aux

actes répréhensibles, on ne touche pas aux incidents de confidentialité.

M. Marissal :

Qui n'est pas un acte...

Caire : Donc, la

loi sur les lanceurs d'alerte, sur les

actes répréhensibles, je ne pense pas

qu'elle s'appliquerait, dans le sens où... C'est une bonne question,

honnêtement, là, sur les actes répréhensibles, puis j'ai travaillé sur le projet de loi, à

l'époque, là, mais vous excuserez mes défaillances, là, mais je ne sais pas si

elle s'appliquerait. Peut-être. Là, vraiment, il faudrait que je demande

un avis juridique, là, mais, de toute façon, je veux dire, 64 lui fait

obligation. Dans le cas d'un incident de confidentialité, 64 lui fait

obligation de le divulguer et de le divulguer à la CAI aussi, là, je tiens à le préciser, donc à la CAI, aux gens

concernés et à toute personne qui peut contribuer à circonscrire. Comme

elle est technologiquement neutre, on n'a pas voulu identifier le DPI dans 64,

mais on vient clairement, ici, le faire, dans la LGGRI, parce que, là, le volet

technologique... 64, comme j'ai dit, s'adresse aux obligations juridiques, là.

95, lui, adresse les questions opérationnelles et technologiques.

M. Marissal :

O.K. Une petite dernière. «Sans

délai», est-ce que c'est défini plus précisément? Qu'est-ce qu'on entend

par «sans délai»?

M. Caire :

Oui. Et je vous dirais que j'ai insisté sur cette appellation-là. C'est

immédiatement au moment où vous avez connaissance des faits.

M. Marissal :

Pourquoi est-ce qu'on ne l'écrit pas comme ça?

M. Caire : Parce que «sans délai», c'est ce que ça veut

dire, c'est les termes usuellement utilisés dans le corpus législatif.

M. Caire :

On sait bien, si c'est moi qui le dis, ça ne compte pas. Il préfère Me Bacon.

M. Marissal :

Bien, chacun nos compétences.

M. Caire :

Je vous taquine, M. le député.

M. Marissal :

Je ne suis pas avocat, je ne prétends même pas pratiquer le droit

illégalement...

M. Caire :

Non. Bien, il y a le député de La Pinière, oui, c'est ça, qui

s'improvise...

M. Marissal :

...comme mon collègue de La Pinière, qui...

M. Caire :

Oui, c'est ça. Qui s'improvise...

M. Marissal : Non, mais c'est parce qu'on apprend souvent dans,

tu sais, les projets de loi, qu'il y

a des termes qui disent ça...

M. Caire :

Oui. Non. Tout à fait, tout à fait. Je vous taquinais, là, M. le député.

M. Marissal :

...dans le langage usuel, si je vous dis : Bien, essaie de me faire ça

sans délai ou reviens-moi sans délai, est-ce que la personne va

comprendre que c'est comme, dret là, ou ça peut aller à demain, tu sais?

M. Caire :

Oui. Non.

M. Marissal :

Légalement, c'est dret là.

M. Caire :

Dans les plus brefs délais, ça, ça pourrait aller à demain. Sans délai, c'est

là, là.

M. Marissal :

O.K. C'est intéressant. O.K., merci.

Le Président

(M. Simard) : M. le député de La Pinière.

M. Barrette :

Oui. J'aurais probablement un amendement, M. le Président, mais je veux en

discuter tout de suite très ouvertement avec

le ministre. C'est vraiment du détail, c'est la ceinture et les bretelles, là,

mais il me semble que, quand le chef

gouvernemental de la sécurité de l'information demande des renseignements, là,

qui sont de nature personnelle, et

ainsi de suite, là, il me semble que ce serait assez justifié, ne serait-ce que

pour les archives de la chose, qu'il soit obligé à fournir précisément

dans sa demande les motifs de sa demande. Parce qu'il pourrait demander

n'importe quand... demander des renseignements, là : À matin, là, ça me

tente de regarder quelque chose.

M. Caire :

Non, non, je vous entends. Je vous entends. C'est juste que moi, je le mets

dans un cadre opérationnel puis je te

dis : Envoie-moi ta journalisation, puis là la réponse, c'est : O.K.,

mais envoie-moi ça par écrit puis envoie-moi les motifs pour lesquels tu

me demandes ça. On veut-tu ça? Mais on parle. On jase, là.

M. Barrette :

On parle. C'est l'inverse. Moi, ce que je souhaiterais, là... Puis ça, c'est

pour des fins documentaires, parce qu'à un moment donné il va y avoir

des rapports puis des audits, là.

M. Caire : Oui,

oui.

M. Barrette : Le chef de

sécurité, c'est un individu qui va avoir beaucoup de pouvoirs. Il va faire peur

au monde, là, techniquement. C'est le chef

de la sécurité, là. Quand il va débarquer, normalement, les colonnes du temple

devraient trembler.

M. Caire : Je

suis assez d'accord.

M. Barrette : Peut-être que

quelqu'un pourrait vouloir abuser de sa situation, on ne sait jamais, alors

moi, je dis simplement que ça serait tout à

fait indiqué, à mon avis, que le chef de la sécurité gouvernementale

dise : Il s'est passé telle chose, nous avons eu vent que, et, pour

cette raison, nous aimerions avoir les renseignements a, b, c, d.

M. Caire : Mais

c'est ça que je dis, puis on jase, là, je suis dans une situation, je suis sous

attaque, l'attaque n'a pas réussi, je dis : Eh! Envoie-moi tes journaux.

Puis le chef délégué de répondre au chef du gouvernement : Pas de trouble, envoie-moi ça par écrit, puis

détaille-moi les motifs pour lesquels tu me demandes ça, puis, quand j'aurai eu

ça, là, je te l'enverrai.

M. Barrette : Oui, mais ce

n'est pas ça que... Moi, je le prends à l'envers. Là, on prend vraiment la même

situation, mais à l'envers. Moi, je la prends vue d'en haut, dans la situation

où il sera audité, je ne la prends pas vue d'en

bas. Comment le cave qui est en dessous ne va pas défier le gars qui est en

haut pour lui demander une justification?

M. Caire : Bien,

il ne le défie pas.

M. Caire : Il

respecte la loi. Il dit : Envoie-moi tes motifs, puis, quand je verrai tes

motifs...

M. Barrette : Bien oui, mais ce

n'est pas écrit, que la loi, là... fournir ses motifs.

M. Caire : Puis

l'autre affaire, l'autre affaire que je soumets respectueusement au député de La Pinière...

si je suis obligé d'évoquer mes motifs, est-ce que quelqu'un va évaluer si mes

motifs sont valables?

M. Barrette : Oui, mais, là,

ça, c'est... Oui, peut-être, c'est correct. Ça veut dire qu'il n'y aura jamais,

jamais de circonstance où on va, de façon abusive ou intempestive, demander

accès à des données. C'est facile : J'ai eu vent qu'il y a eu une tentative de «hacking». O.K. Envoie-moi tes... O.K.

Nous avons eu vent qu'il y a eu une tentative d'intrusion dans nos données, alors on veut avoir la

journalisation. C'est facile. Tentative d'intrusion. «Hacking». Mais O.K.,

là, là, mais c'est parce qu'à l'interne, là, on a eu vent que peut-être

qu'il y aurait eu circulation inappropriée de données.

Bien, moi, pour toute demande qui serait

demandée... faite, pas demandée, mais faite pour avoir accès à des données

personnelles, ça m'apparaît raisonnable que, dans la demande, il y ait un

minimum de justification ou d'information qui justifie la demande en question.

Moi, je ne demande pas un téléroman, là.

M. Caire : Non,

non, je comprends. Ce que j'essaie d'amener dans la discussion, c'est qu'on est

dans une logique où on dit : Tu dois lui communiquer sans délai. Donc, on

est en situation d'urgence. Puis je comprends que mon collègue de La Pinière

a une expertise des urgences nettement supérieure à la mienne. Donc, on est

dans une situation d'urgence. Est-ce que c'est le temps, à ce... puis je ne dis

pas que la demande n'est pas légitime, je veux dire, est-ce qu'on le fait là?

Est-ce que, subséquemment, il n'y aurait pas... Puis je comprends l'idée de la

reddition de comptes, puis je la comprends, puis l'idée n'est pas folle, là,

mais moi, là, je me mets dans la place de mon chef gouvernemental de la

sécurité de l'information, le chef délégué, je reprends un petit peu, là, le

contexte du collègue de Rosemont, on est dans une dynamique où les deux ne sont

peut-être pas les meilleurs amis du monde, situation typiquement humaine, puis

là moi, ils me demandent des informations, puis moi, je dis : Pas de

problème, la loi m'oblige à te le donner. Par contre, la loi me permet de te

dire : Justifie-moi ça.

M. Barrette : Non, ce n'est pas

ça que...

M. Caire : Bien,

il faut trouver un libellé qui dit ça.

M. Barrette : Non, non, non.

Bien, ce n'est pas une question de justification que d'inclure dans la demande

les informations relatives à... bien, si on peut appeler ça une justification,

là, mais, en quelque part, moi, je dis simplement que... dit : S'il y a

rétroaction, c'est correct de faire ça avec un seul angle : empêcher les

demandes intempestives. Le gars qui est en haut, là, lui, là, s'il fait des

demandes intempestives, bien, peut-être que lui aussi, il va se faire taper sur

les doigts parce qu'il a fait des demandes intempestives.

M. Caire :

Je comprends. Est-ce qu'on...

M. Barrette : Et l'autre

élément que je voulais noter, là, je regarde 12, 12 qui est... on va dire que

c'est l'article avec un a majuscule, bon.

M. Caire : Oui,

oui, c'est clair.

M. Barrette : Bien, on a 12.1,

12.2 fait référence à 12.1, 12.3, 12.2, et ainsi de suite, là. C'est une espèce

d'article en cascade, tout s'emboîte. Alors, moi, je trouve qu'à 12.3, de

mettre là un élément qui oblige le demandeur de dire... deux points, tel événement.

Caire : Bien, moi,

je...

M. Barrette : Ce n'est pas...

Il ne faut pas voir ça comme étant une justification. Ça ne donne pas le

pouvoir au délégué de dire non. Tout ce que ça fait, ça, c'est que ça

dit : Bien, regarde, tu as une raison de l'amender, là, bien, inscris-la, puis, à un moment donné, quand on reverra rétrospectivement ce qu'il s'est passé dans les

deux dernières années...

M. Caire : J'ai

une proposition. Puis le DPI me parle.

M. Barrette : O.K. Oui, j'ai

vu, M. le ministre, qu'il vous parlait dans le dos.

M. Caire : Oui,

je le sais, mais, écoutez, quand on est ministre, je pense qu'il faut

s'habituer à ça.

M. Barrette : Oui, il y en a quelques-uns,

oui.

Caire : Non, mais, M. le député, je vous soumets,

modestement,

article 12 de la loi qui introduit l'article 22.1.1.

M. Barrette : Lequel? Lequel?

Lequel?

M. Caire : C'est l'article 12

de la loi n° 95, qui viendrait introduire l'article 22.1.1 : «Le

gouvernement prévoit, par règlement, les modalités et conditions [applicables]

des articles 12.2 à 12.4.» Donc, ça, on pourrait... moi, j'ai... puis là,

là...

M. Barrette : Ah! le mettre

dans le règlement. Bien, pourquoi ne pas le mettre dans la loi? C'est bien plus

simple. Voyons, ça, c'est une échappatoire, là.

Caire : Non, non,

non, mais c'est parce que moi, là, ce que... je ne suis pas contre.

M. Barrette : Alors, soyons

pour.

M. Caire : Je ne suis pas contre l'idée. Ce que je dis à mon

collègue de La Pinière, c'est que nous sommes dans un

article où

nous avons à réagir rapidement. Ce que je n'aime pas, c'est l'idée d'amener des

éléments de discussion.

M. Barrette : Bien, ce n'est

pas un élément de discussion.

M. Caire : Ah

bien, oui, par exemple, là. Bien oui.

M. Barrette : Bien, non, non.

M. Caire : Bien

oui.

M. Barrette : Bien non. Bien

non. Bien non.

M. Caire : Bien,

je ne comprends pas, d'abord. Parce que moi, je dois justifier ma demande...

M. Barrette : Ce n'est pas un

élément de discussion, c'est un élément documentaire qui sert éventuellement à

une révision. Ce n'est pas un élément de débat, c'est simplement de dire...

M. Caire : Bien,

O.K., mais il faut trouver un libellé.

M. Barrette : C'est comme une

lettre, là, quand le gouvernement envoie une lettre ou n'importe qui envoie une

lettre, il y a objet, en haut, objet : l'objet, bang! Dans le cas présent,

c'est : Si je suis pour demander des données personnelles, là, voici

l'événement qui est en cause.

M. Caire :

Mais je le dis d'entrée de jeu au député de La Pinière, je ne suis pas

contre l'idée que la demande soit motivée.

Ce que je souhaite, c'est que cette justification-là ne se fasse pas vis-à-vis

de la personne à qui s'adresse la demande, parce que ce ne sera pas à

cette personne-là à évaluer si la demande était pertinente.

M. Barrette :

Bien oui, mais c'est parce que...

M. Caire :

Et que cette justification-là ne soit pas un motif de délai. C'est juste ça que

je dis. Puis, si le député de

La Pinière est d'accord avec moi, trouvons un libellé. Et ce que je lui

propose, c'est de l'intégrer à l'article 22.1.1, et pas dans une

perspective de dire : 22.1.1 comprend ça.

M. Caire :

On peut... On pourra modifier... Mais je veux juste finir, M. le député.

M. Barrette :

Oui, oui, excusez. Pardon.

M. Caire :

22.1.1 pourra dire ce qu'il dit. Et nous pourrons écrire dans la loi que ces

règlements-là doivent prévoir notamment... On en a fait, des amendements comme

ça, à satiété, là.

M. Barrette :

Moi, si ce que je recherche est écrit dans la loi, je n'ai pas de problème.

M. Caire :

Oui. Parfait.

M. Barrette :

Mais, si c'est dans la loi, ça sera défini par un règlement à venir, j'ai un

problème.

M. Caire :

Non, non, non. Je lui dis qu'on pourra, comme on le fait...

M. Barrette :

C'est correct.

M. Caire :

...comme on l'a fait. La loi dit : Tu dois faire un règlement, ta, ta, ta,

notamment... le règlement doit comprendre notamment la justification d'une

demande en vertu de 12.3. Je n'ai pas de problème à écrire ça, là.

M. Barrette :

O.K. Alors, vous allez... Me Bacon, vous allez être aussi inspirée que pour

7.1?

Caire :

Ou Pierre.

M. Barrette :

Ou Pierre. M. Rodrigue.

M. Caire :

Moi, je n'ai pas de problème. Je n'ai pas de problème. Mais 12.3, il traite

l'urgence d'agir. Je comprends la préoccupation du député de La Pinière.

Je suis d'accord qu'on ne peut pas se servir de ce pouvoir-là pour en abuser et demander des renseignements

personnels à tout vent. Je suis d'accord pour apporter un amendement qui va dire que le chef gouvernemental de la

sécurité de l'information devra rendre des comptes sur les renseignements

personnels qui lui auront été communiqués.

M. Barrette :

On s'entend, là, on fera ça. O.K.

M. Caire :

Je suis d'accord. Je pense que 22.1.1, à la suggestion...

M. Barrette :

Nous allons nous en souvenir à 22.1.1.

Caire :

Ah bien, oui, oui, puis on pourra même faire une proposition d'amendement,

Gaétan...

Le Président

(M. Simard) : L'idée de l'amendement, pour l'instant...

M. Barrette :

Arrivera plus tard.

Le Président

(M. Simard) : Très bien, arrivera plus tard.

M. Barrette :

Maintenant, M. le Président, un dernier commentaire.

Le Président

(M. Simard) : Oui, je vous en prie.

M. Barrette :

12.3, là, il n'y a absolument rien là-dedans qui a une notion d'urgence, là.

M. Caire : Bien,

«sans délai», il n'est quand même pas si pire, là.

M. Barrette :

Non, le «sans délai», c'est pour amener la documentation demandée au demandeur.

C'est ça qu'il est, le «sans délai».

M. Caire :

Oui, oui.

M. Barrette :

Bien, ça ne veut pas dire que c'est une situation d'urgence. Ça veut juste

dire : Regarde, là, je te demande ça, puis tu me l'envoies au PC.

Caire :

O.K., mais on est quand même dans 12.2, alinéa 2, là.

M. Barrette :

Bien oui, mais...

M. Caire :

«Lorsqu'un organisme public constate qu'une ressource informationnelle ou une

information sous sa responsabilité fait ou a fait l'objet d'une atteinte à sa

confidentialité, à sa disponibilité [...] à son intégrité, ou qu'un risque d'une telle atteinte est appréhendé,

il doit prendre toutes les mesures visant à [...] corriger les impacts ou [...]

en réduire [les conséquences].» Un organisme public doit — c'est comme ça qu'il faut le lire, là — communiquer les informations sans

délai. Donc, non, ce n'est pas écrit... il n'y a pas écrit...

M. Barrette :

Ce n'est pas écrit. Ce n'est même pas écrit «immédiatement».

M. Caire :

Mais c'est ça, ce n'est pas écrit «il y a péril en la demeure», mais, tu sais...

M. Barrette :

Je fais seulement le commentaire, M. le Président, pour confirmer au ministre

que nous n'avons pas la même notion d'urgence, effectivement.

M. Caire :

Ça se peut.

M. Barrette :

Voilà. Alors, nous allons passer au sujet suivant, M. le Président.

Le Président

(M. Simard) : À moins que notre collègue de Rosemont ne souhaite

intervenir.

Le Président

(M. Simard) : Très bien. Donc, nous en sommes rendus à

l'article 12.4. M. le ministre.

M. Caire :

M. le Président :

«Le président du

Conseil du trésor peut utiliser les renseignements visés à l'article 12.3

pour soutenir les organismes publics en cas d'atteinte ou de risque d'atteinte

visés au deuxième alinéa de l'article 12.2 et il dispose de tous les pouvoirs nécessaires pour ce faire dont

celui de conclure, conformément à la loi, des ententes avec toute personne

ou avec tout organisme au Canada ou à

l'étranger lorsqu'il l'estime nécessaire pour assurer la sécurité de

l'information.

président du Conseil du trésor peut communiquer à ces personnes ou à ces

organismes les renseignements visés au premi